]>
Linux IP Masquerade HOWTO <author>David Ranch, <tt><htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net"></tt> <date>v1.95, November 14, 2000 <trans>日本語訳: JF Project (<tt>jf@linux.or.jp</tt>) <tdate>v1.0.0j Jul. 12, 2001 <abstract> <!-- This document describes how to enable the Linux IP Masquerade feature on a given Linux host. IP Masq is a form of Network Address Translation or NAT that allows internally connected computers that do not have one or more registered Internet IP addresses to have the ability to communicate to the Internet via your Linux box's single Internet IP address. --> この文書は、 Linux ホストに IP マスカレード機能を動作させる方法を詳述 します。 IP マスカレードはネットワークアドレス変換或は NAT の一形態で、正式な インターネット IP アドレスを持たない内部ネットワーク上のコンピュータが、 Linux BOX に割り振られた単一のインターネット IP アドレスを通じて インターネットに接続できるようにします。 </abstract> <toc> <!-- Section 1 --> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect> Introduction --> <sect> はじめに <p> <!-- <sect1> Introduction to IP Masquerading or IP MASQ for short --> <sect1> IP マスカレードの概略 <p> <!-- This document describes how to enable the Linux IP Masquerade feature on a given Linux host. IP Masq is a form of Network Address Translation or NAT that allows internally connected computers that do not have one or more registered Internet IP addresses to have the ability to communicate to the Internet via your Linux box's single Internet IP address. It is possible to connect your internal machines to the Linux host with LAN technologies like Ethernet, TokenRing, FDDI, as well as other kinds of connections such as dialup PPP or SLIP links. This document uses Ethernet for the primary example since it is the most common scenario. --> この文書では、Linux ホストで IP マスカレードを行う方法について説明 します。 IP マスカレードはネットワークアドレス変換、すなわち NAT の一種で、 これを使うと内部ネットワークのコンピュータが複数の公式なインターネット アドレスを持たなくても Linux BOX のただ一つのインターネット IP アドレス を使ってインターネットに接続できるようになります。 これらマシンと Linux ホストとは、イーサネット、TokenRing, FDDI 等の LAN を用いる方法だけでなく、ダイヤルアップ ppp や SLIP リンク等、 色々な形態で接続することが可能です。 この文書では主に、最も一般的なイーサネット接続について説明します。 <p> <!-- <quote> <em><bf>This document is intended for users using either of the stable Linux kernels: 2.0.38+ and 2.2.17+ on a IBM-compatible PC. Older kernels such as 1.2.x, 1.3.x, and 2.1.x are NOT covered in this document and, in some kernel versions, can be considered broken. Please upgrade to one of the stable Linux kernels before using IP Masquerading. The new 2.3 and 2.4 kernels with the new NetFilter code aren't covered yet but URLs are provided below. Once the feature set for Netfilter is final, the new code will be covered in this HOWTO.</bf></em> <p> <em><bf>If you are configuring IP Masq for use on a Macintosh, please email Taro Fukunaga, <htmlurl url="mailto:tarozax@earthlink.net" name="tarozax@earthlink.net"> for a copy of his short MkLinux version of this HOWTO.</bf></em> </quote> --> <quote> <em><bf>この文書は安定版カーネル 2.0.38 以降または 2.2.1 以降を IBM 互換 PC で使っているユーザー向けに書かれています。 カーネル 1.2.x, 1.3.x などの古いバージョンや 2.1.x は扱っていません。 またカーネルのバージョンによっては動作しないものあるかも知れません。 IP マスカレードを使う前に、安定版カーネルのどれか一つに更新しておいてください。 新しい 2.3 や 2.4 カーネルの NetFilter コードは未だ扱っていませんが、 参考の為に URL を記載しています。 NetFilter の機能が固まったら、最新コードでの使い方を HOWTO の中で 取り扱っていきます。</bf></em> <p> <em><bf>もし、 IP マスカレードをマッキントッシュで使おうとしているなら、 Taro Fukunaga, <htmlurl url="mailto:tarozax@earthlink.net" name="tarozax@earthlink.net"> に E メールを送って、彼が書いたこの HOWTO の Mklinux 用バージョンのコピーをもらってください。</bf></em> </quote> <!-- <sect1> Foreword, Feedback & Credits --> <sect1> 序文、フィードバックとクレジット <p> <!-- As a new user, I found it very confusing to setup IP masquerade on Linux kernel, (1.2.x kernel back then). Although there is a FAQ and a mailing list, there was no document that was dedicated to it. There were also some requests on the mailing list for such a HOWTO. So, I decided to write this HOWTO as a starting point for new users and possibly create a building block for other knowledgeable users to use add to in the future. If you have any ideas for this document, corrections, etc., feel free to tell us so that we can make it better. --> 私は、 Linux カーネルに IP マスカレードを設定することは、新しいユーザに とってかなり厄介なことだということに気付きました (カーネル 1.2.x 以前の頃のことです)。 FAQ やメーリングリストが存在しているにも拘らず、この点を専門に解説した 文書はなかったのです。 また、メーリングリストには、そのような HOWTO を求める声が何度か寄せられて いました。 そこで私は、新しいユーザーのための手がかりとして、またもっと知識のある ユーザーに文書を書いてもらうための叩き台として、この文書を書くことを 決心したのです。 この文書の出来が余り良くないと思われたら、遠慮なく私にそう言って ください。 改善していきたいと思います。 <p> <!-- This document was originally based on the original FAQ by Ken Eves and numerous helpful messages from the IP Masquerade mailing list. A special thanks to Mr. Matthew Driver whose mailing list message inspired me to set up IP Masquerade and eventually writing this. Recently, David Ranch re-wrote the HOWTO and added a substantial number of sections to the HOWTO to make this document as complete as possible. --> この文書は、 Ken Eves 氏による FAQ と、IP マスカレードメーリングリストに 流れた沢山の有益なメッセージに多くを負っています。 また私が IP マスカレードを設定し、最終的にはこの文書を書くきっかけと なったメッセージをメーリングリストで送ってくれた Matthew Driver 氏には、 特別な感謝の意を表したいと思います。 最近、David Ranch がこの HOWTO をできる限り完全にするためにかなりの部分を 追加し、書き直しました。 <p> <!-- Please feel free to send any feedback or comments to <htmlurl url="mailto:ambrose@writeme.com" name="ambrose@writeme.com"> and <htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net"> if you have any corrections or if any information/URLs/etc. is missing. Your invaluable feedback will certainly influence the future of this HOWTO! --> 情報が間違っていたり、抜け落ちている場合には、遠慮なくメールを <htmlurl url="mailto:ambrose@writeme.com" name="ambrose@writeme.com"> 及び <htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net"> に送ってください。 あなたの貴重なフィードバックは、きっとこの HOWTO に反映されます! 【訳注: 日本語訳に関するコメントは、 Linux JF Project <jf@linux.or.jp> 迄お願いします。】 <p> <!-- <bf>This HOWTO is meant to be a fairly comprehensive guide on getting your Linux IP Masquerading network working in the shortest time possible. David is not a technical writer by trade so you might find the information in this document not as general and/or objective as it could be. The latest news and information regarding this HOWTO and other IP MASQ details can be found at the <url url="http://ipmasq.cjb.net/" name="IP Masquerade Resource"> web page that we actively maintain. If you have any technical questions on IP Masquerade, please join the IP Masquerade Mailing List instead of sending email to David. Most MASQ problems are common for ALL MASQ users and can be easily solved by someone on the list. In addition to this, the response time of the IP MASQ email list will be much faster than a reply from David. </bf> --> <bf>この HOWTO は、できるだけ短時間で IP マスカレードを使えるように するための 簡単なガイドとして書かれたものです。 David はテクニカルライターではありませんから、 この文書中の情報は 一般的でなかったり、客観性に欠けていることもあるでしょう。 この HOWTO や IP マスカレードに関する最新のニュースや情報は、我々が 精力的にメンテナンスしている <url url="http://ipmasq.cjb.net/" name="IP マスカレードの情報源"> web ページにあります。 IP マスカレードに関する技術的な質問がある場合には、David にメールを 送らずに IP マスカレードメーリングリストに参加してください。 マスカレードに関する問題の殆どはマスカレードユーザに共通の問題であり、 メーリングリスト上の誰かが簡単に解決してくれるでしょう。 それにメーリングリストからの回答の方が、 David からの回答よりずっと 早いです。</bf> <p> <!-- The latest version of this document can be found at the following sites which also contains HTML and postscript versions --> この文書の最新バージョンは、以下のサイトにあります。 HTML とポストスクリプトのバージョンもあります。 <!-- <itemize> <item><htmlurl url="http://ipmasq.cjb.net/" name="http://ipmasq.cjb.net/: The IP Masquerade Resources"> <item><htmlurl url="http://ipmasq2.cjb.net/" name="http://ipmasq2.cjb.net/: The IP Masquerade Resources MIRROR"> <item><htmlurl url="http://www.linuxdoc.org" name="The Linux Documentation Project"> <item><htmlurl url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#ipmasq" name="Dranch's Linux page"> <item>Also refer to <url url="http://ipmasq.cjb.net/index.html#mirror" name="IP Masquerade Resource Mirror Sites Listing"> for other local mirror sites. </itemize> --> <itemize> <item><htmlurl url="http://ipmasq.cjb.net/" name="http://ipmasq.cjb.net/ - IP マスカレードの情報源"> <item><htmlurl url="http://ipmasq2.cjb.net/" name="http://ipmasq2.cjb.net/ - IP マスカレードの情報源・ミラーサイト"> <item><htmlurl url="http://www.linuxdoc.org/" name="The Linux Documentation Project"> <item><htmlurl url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#ipmasq" name="Dranch's Linux page"> <item>他のローカルミラーサイトとして<url url="http://ipmasq.cjb.net/index.html#mirror" name="IP マスカレードの情報源・ミラーサイトの一覧">も参照してください。 </itemize> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - - - --> <sect1> Copyright & Disclaimer <p> 【訳注: この部分は原文をそのまま示します。】 This document is <tt>copyright(c) 2000 David Ranch</tt> and it is a FREE document. You may redistribute it under the terms of the GNU General Public License. <p> The information herein this document is, to the best of David's knowledge, correct. However, the Linux IP Masquerade feature is written by humans and thus, there is the chance that mistakes, bugs, etc. might happen from time to time. <p> No person, group, or other body is responsible for any damage on your computer(s) and any other losses by using the information on this document. i.e. <p> <quote> <bf>THE AUTHORS AND ALL MAINTAINERS ARE NOT RESPONSIBLE FOR ANY DAMAGES INCURRED DUE TO ACTIONS TAKEN BASED ON THE INFORMATION IN THIS DOCUMENT.</bf> </quote> <!-- Ok, with all this behind us... On with the show.. --> さあ準備ができたので、本題に入りましょう。 <!-- 1章ここまで 翻訳: 山口 校正: 岡本一幸さん <kokamoto@itg.hitachi.co.jp> 野本浩一さん <hng@ps.ksky.ne.jp> 松田陽一 <matsuda@palnet.or.jp> --> <!-- Section 2 --> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect> Background Knowledge --> <sect> 予備知識 <p> <!-- <sect1> What is IP Masquerade? --> <sect1> IP マスカレードとは <p> <!-- IP Masquerade is a networking function in Linux similar to one-to-many NAT (Network Address Translation) found in many commercial firewalls and network routers. For example, if a Linux host is connected to the Internet via PPP, Ethernet, etc., the IP Masquerade feature allows other "internal" computers connected to this Linux box (via PPP, Ethernet, etc.) to also reach the Internet as well. Linux IP Masquerading allows for this functionality even though these internal machines don't have <em>an officially assigned IP addresses</em>. --> IP マスカレードは、 Linux におけるネットワーキング機能であり、多くの 商用のファイアウォールやネットワークルータに見受けられる 1対多の NAT (Network Address Translation: ネットワークアドレス変換) と似ています。 例として、 Linux ホストが PPP やイーサネット等にてインターネットに接続 されているとしましょう。 IP マスカレードの特徴は Linux ボックスに (PPP やイーサネット等にて) 接続される "内部の" コンピュータにも等しくインターネットを 利用できるようにします。 Linux の IP マスカレーディングは、内部マシンが<em>公式に割り当てられた IP アドレス</em>を持たなくても、内部マシンがインターネットに 接続できるようにします。 <!-- 最初は 「IP マスカレードの特徴は Linux ボックスに (PPP やイーサネット等にて) 接続される "内部の" コンピュータにも等しくインターネットへ到達できる ようにします。 Linux の IP マスカレーディングは、内部マシンが<em>公式に割り当てられ る IP アドレス</em>を持たなくても、内部マシンにこの機能性を与えます。」 と訳したんですが、意味がいまいち通じないので、敢えて意訳してしまいま した。 --> <p> <!-- MASQ allows a set of machines to <em>invisibly</em> access the Internet via the MASQ gateway. To other machines on the Internet, all this outgoing traffic will appear to be from the IP MASQ Linux server itself. In addition to the added functionality, IP Masquerade provides the foundation to create a VERY secure networking environment. With a well built firewall, breaking the security of a well configured masquerading system and internal LAN should be considerably difficult. --> マスカレードは、 マスカレードゲートウェイを経由して、全てのマシンを <em>隠して</em>インターネットにアクセスできるようにします。 インターネット上の他のマシンからは、発生する全てのトラフィックは あたかも IP マスカレード Linux サーバ自身からのものであるように 見えます。 その追加機能に加えて、 IP マスカレードは非常に安全なネットワーキング 環境を作るための土台を提供します。 しっかり作られたファイアウォールを伴えば、しっかり設定された マスカレードシステムと内部の LAN のセキュリティを壊すことはかなり 難しくなるでしょう。 <p> <!-- If you would like to know more on how MASQ differs from 1:1 NAT and Proxy solutions, please see the <ref id="what-is-masq"> FAQ entry. --> マスカレードが 1対1 の NAT やプロキシによる問題解決方法とどのように 違うのか、もっと知りたい方は、 FAQ の章 の <ref id="what-is-masq" name="IP マスカレードは、プロキシや NAT サービスとどう違うのでしょうか?"> をご覧ください。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Current Status --> <sect1> 現在の状態 <p> <!-- IP Masquerade has been out for several years now and is fairly mature as Linux enters the 2.2.x kernel stage. Kernels since Linux 1.3.x have had MASQ support built-in. Today many individuals and commercial businesses are using it with excellent results. --> IP マスカレードは何年もの間使われ続けており、Linux カーネル 2.2.x の段階にある現在、とても成熟した状態にあります。 Linux カーネル 1.3.x から、MASQ サポートが組み込まれています。 今日、多くの個人や商業ベースのビジネスにおいて使われ、優秀な結果を おさめています。 <p> <!-- Common network uses like Web browsing, TELNET, FTP, PING, TRACEROUTE, etc. work well over IP Masquerade. Other communications such as FTP, IRC, and Real Audio work well with the appropriate IP MASQ modules loaded. Other network-specific programs like streaming audio (MP3s, True Speech, etc) work too. Some fellow users on the mailing list have even had good results with video conferencing software. --> Web ブラウジング、 TELNET, FTP, PING, TRACEROUTE 等の一般的な ネットワークの利用は、 IP マスカレード上でうまく動作します。 FTP, IRC とリアルオーディオ (Real Audio) のような他の コミュニケーションは適切な IP MASQ モジュールをロードすればうまく 動作します。 ストリーミングオーディオのような他のネットワークに特有のプログラム ( MP3, True Speech など) も同様に動作します。 メーリングリストの何人かの優秀なユーザはビデオ会議ソフトウェアに おいても良い結果を出しました。 <p> <!-- It should also be noted that running IP Masquerade with only ONE network card (NIC) to MASQ between internal and external Ethernet networks is NOT recommended. For more details, please see the <ref id="aliasing"> FAQ section for full details. --> 内部と外部のイーサネットネットワークの間を 1 つだけのネットワークカード (NIC) にて IP マスカレードを動作させることはお薦めできません。 詳細については FAQ の章の <ref id="aliasing" name="IP マスカレードは1枚だけのイーサネットネットワークカードで動作しますか?"> にある解説をご覧ください。 <!-- For more details, please see the <ref id="aliasing"> FAQ section for full details. ってあるけど、『詳細については全詳細をご覧下さい』ってなんか変ですよね? どう訳したらいいんでしょう? --> <p> <!-- Anyway, please refer to <ref id="Supported Client Software"> section for a more complete listing of software supported. --> ともかく、より完全なサポート済みソフトウェアの一覧は <ref id="Supported Client Software" name="サポートしているクライアントソフトウエアとその他の設定情報"> の章をご覧になってください。 <p> <!-- IP Masquerade works well as a server to other 'client machines' running various different OS and hardware platforms. There are successful cases with internal MASQed systems using : --> IP マスカレードは、他の様々な異なる OS やハードウェアプラットフォーム にて稼働する 'クライアントマシン' に対し、サーバとして良好に動作します。 以下に内部の MASQ されたシステム上での成功例を示します - <p> <!-- <itemize> <item>Unix: Sun Solaris, *BSD, Linux, Digital UNIX, etc. <item>Microsoft Windows 2000, NT (3.x and 4.x), 95/98/ME, Windows for Workgroups (with the TCP/IP package) <item>IBM OS/2 <item>Apple Macintosh MacOS machines running either MacTCP or Open Transport <item>DOS-based systems with packet drivers and the NCSA Telnet package <item>VAXen <item>Compaq/Digital Alpha running Linux and NT <item>even Amiga computers with AmiTCP or AS225-stack. </itemize> --> <itemize> <item>Unix: Sun Solaris, *BSD, Linux, Digital UNIX, 等. <item>Microsoft Windows 2000, NT (3.x と 4.x), 95/98/ME, Windows for Workgroups (TCP/IP パッケージを含む) <item>IBM OS/2 <item>MacTCP 或は Open Transport のいずれかが稼働する Apple Macintosh MacOS マシン <item>パケットドライバと NCSA Telnet パッケージを含む DOS ベースのシステム <item>VAXen <item>Linux と NT が稼働する Compaq/Digital Alpha <item>AmiTCP 或は AS225-stack を含む Amiga コンピュータ </itemize> <!-- <item>even Amiga computers with AmiTCP or AS225-stack. ここの even ってどう訳せば良いのでしょうか? --> <p> <!-- The list goes on and on but the point is, if your OS platform talks TCP/IP, it should work with IP Masquerade! --> このリストはまだまだ続きます。要するに、 TCP/IP を喋れる OS プラットフォームであれば、 IP マスカレードと一緒に使えるはずなのです。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Who Can Benefit From IP Masquerade? --> <sect1> IP マスカレードが有用な場合 <p> <!-- <itemize> <item>If you have a Linux host connected to the Internet and <item>if you have some computers running TCP/IP connected to a Linux box on a local subnet, and/or <item>if your Linux host has more than one modem and acts as a PPP or SLIP server connecting other computers, which <item>those <bf/OTHER/ machines do not have official or public assigned IP addresses (i.e. addressed with private TCP/IP numbers). <item>And of course, if you want those <bf/OTHER/ machines to communicate to the Internet without spending extra money to get additional Public / Official TCP/IP addresses from your ISP and either configure Linux to be a router or purchase an external router. </itemize> --> <itemize> <item>インターネットに接続された Linux ホストがあり、 <item>その Linux box にローカルサブネット上で TCP/IP 接続された コンピュータがあるか、 <item>Linux ホストにモデムが接続されていて、他のコンピュータに接続する PPP 或は SLIP サーバとして動作し、 <item>それら <bf/他の/ マシンは公式或は公共に割り当てられた IP アドレスを 持たず (すなわち、プライベート TCP/IP 番号が割り当てられている)、 <item>そして勿論、あなたが追加の公式/公共の TCP/IP アドレスを ISP から入手し、 Linux をルータとして設定するか或は外部ルータを購入 する為の余分なお金を使うことなく、それら <bf/他の/ マシンが インターネットに接続できるようにしたいのならば。 </itemize> <!-- public / global IP address というのを、そのまま「パブリック/グローバル」 と訳した方が良いのでしょうか…? --> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Who Doesn't Need IP Masquerade? --> <sect1> IP マスカレードが無用な場合 <p> <!-- <itemize> <item>If your machine is a stand-alone Linux host connected to the Internet (though setting up a firewall is a good idea), or <item>if you already have multiple assigned public addresses for your <bf/OTHER/ machines, and <item>of course, if you don't like the idea of a 'free ride' using Linux and feel more comfortable using expensive commercial tools to do the exact same thing. </itemize> --> <itemize> <item>インターネットに接続されているマシンがスタンドアロンの Linux ホストの場合。 (しかしながらファイアウォールを構築するのは良い考えです) あるいは、 <item>既に 【訳注: サーバだけでなく】 <bf/クライアント/マシンの為にも 公式な IP アドレスを複数割り当てている場合、IP マスカレードは必要 ありません。 <item>そしてもちろん、 Linux を使って 'タダ乗り' する考えが好きで なく、全く同じことをする高価な商用ツールを使うことをより快適だと 感じる場合。 </itemize> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> How does IP Masquerade Work? --> <sect1> どのようにして IP マスカレードは動作するか <p> <!-- >From the original IP Masquerade FAQ by Ken Eves: --> Ken Eves 氏によるオリジナルの IP マスカレード FAQ から引用します - <!-- <verb> Here is a drawing of the most simple setup: SLIP/PPP +------------+ +-------------+ to ISP provider | Linux | SLIP/PPP | Anybox | <---------- modem1| #1 |modem2 ----------- modem3| | 111.222.121.212 | | 192.168.0.100 | | +------------+ +-------------+ In the above drawing, a Linux box with IP_MASQUERADING is installed as Linux #1 and is connected to the Internet via SLIP/or/PPP using modem1. It has an assigned public IP address of 111.222.121.212. It also has modem2 connected to allow callers to dial-in and start a SLIP/or/PPP connection. The second system (which doesn't have to be running Linux) calls into the Linux #1 box and starts a SLIP/or/PPP connection. It does NOT have a publicly assigned IP address from the Internet so it uses the private address 192.168.0.100. (see below for more info) With IP Masquerade and the routing configured properly, the machine "Anybox" can interact with the Internet as if it was directly connected to the Internet (with a few small exceptions). Quoting Pauline Middelink: Do not forget to mention that the "ANYBOX" machine should have the Linux #1 box configured as its gateway (whether is be the default route or just a subnet is no matter). If the "ANYBOX" machine can not do this, the Linux machine should be configured to support proxy arp for all routed addresses. But, the setup and configuration of proxy arp is beyond the scope of the document. The following is an excerpt from a previous post on comp.os.linux.networking which has been edited to match the names used in the above example: o I tell machine ANYBOX that my PPP or SLIPed Linux box is its gateway. o When a packet comes into the Linux box from ANYBOX, it will assign it a new TCP/IP source port number and slap its own IP address in the packet header, saving the originals. The MASQ server will then send the modified packet out over the SLIP/PPP interface to the Internet. o When a packet returns from the Internet to the Linux box, Linux examines if the port number is one of those ports that was assigned above. If so, the MASQ server will get the original port and IP address, put them back in the returned packet header, and send the packet to ANYBOX. o The host that sent the packet will never know the difference. </verb> --> <verb> これはもっとも簡単な構成図です - SLIP/PPP +------------+ +-------------+ ISP へ | Linux | SLIP/PPP | Anybox | <---------- modem1| #1 |modem2 ----------- modem3| | 111.222.121.212 | | 192.168.0.100 | | +------------+ +-------------+ 上図において、 IP_MASQUERADING を伴う Linux box が Linux #1 として インストールされており、 modem1 を使った SLIP 或は PPP 接続にて、 インターネットに接続されています。 このマシンにはパブリック IP アドレスとして 111.222.121.212 が割り当て られています。 更に発信側のダイヤルインと SLIP 或は PPP 接続を受け入れるための modem2 が接続されています。 第2 のシステム ( Linux が稼働している必要はありません) は Linux #1 box へ発呼し、 SLIP 或は PPP 接続を開始します。 このマシンはインターネットからパブリックな IP アドレスが *割り当てられません*ので、プライベートアドレスの 192.168.0.100 を 用います。(下記参照。) マスカレードとルーティングの設定が適切であれば、マシン "Anybox" は あたかもインターネットに直接接続されたかのように振る舞うことができます (いくつかの例外はありますが)。 Pauline Middelink 氏からの引用 - Linux #1 box は "ANYBOX" マシンのゲートウェイとして設定されていなければ ならないことを忘れてはなりません。 (ここで、それがデフォルトルートなのか、 或は単なるサブネットであるのかは問題ではありません。) もし "ANYBOX" がそのようにできないのであれば、 Linux マシンは全ての ルーティングされたアドレスに対して代理 arp をサポートするよう 設定されるべきです。 けれども、代理 arp のセットアップと設定はこの文書の扱う範囲外です。 次にあげるのは comp.os.linux.networking からの過去の投稿からの 引用で、上記例に合致するように名前を書き換え、編集したものです - o ANYBOX に Linux マシンがゲートウェイだと教えておきます。 o マシン ANYBOX に、 PPP 或は SLIP 接続される Linux box が ゲートウェイであることを教えておきます。 o ANYBOX から Linux box にパケットが 届いた時、 Linux box は パケットに対して新しい TCP/IP ソースポート番号を割り当てて、 パケットヘッダに自分の IP アドレスを書き込んで、元の IP アドレスを保存しておきます。 MASQ サーバはこうして修正したパケットを SLIP/PPP インターフェースを通じてインターネットへ送信します。 o パケットがインターネット から Linux box に帰って来たら、 Linux はポート番号が先に割り当てたものの一つであるか調べます。 もしそうなら、 MASQ サーバは元のポートと IP アドレスを得て、 戻って来たパケットヘッダにそれを復元し、そのパケットを ANYBOX へ送ります。 o パケットを送られたホストは、その違いに全く気付かないでしょう。 </verb> <!-- ISP provider というのは、 Internet Service Provider Provider と、 言葉が重なってしまい、どうにもおかしいので、敢えて「 ISP へ」と 書き換えました。 あと、 interact を「振る舞う」と意訳しちゃいましたが、これで良い でしょうか? 「"ANYBOX" マシンはそのゲートウェイとして設定された Linux #1 box を持つべきであることに言及することを忘れてはなりません。」 という直訳から、 「Linux #1 box は "ANYBOX" マシンのゲートウェイとして設定されていな ければならないことを忘れてはなりません。」 と、大幅に意訳してしまいましたが良いでしょうか? --> <p> <!-- <bf>Another IP Masquerading Example:</bf> --> <bf>もう一つの IP マスカレーディングの例 - </bf> <p> <!-- A typical example is given in the diagram below: --> 典型的な例を下図に示します - <!-- <verb> +----------+ | | Ethernet | A-box |:::::: | |.2 : 192.168.0.x +----------+ : : +----------+ PPP +----------+ : .1 | Linux | link | | :::::::| Masq-Gate|:::::::::::::::::::// Internet | B-box |:::::: | | 111.222.121.212 | |.3 : +----------+ +----------+ : : +----------+ : | | : | C-box |:::::: | |.4 +----------+ | | | | <-Internal Network--> | | <- External Network ----> | | | </verb> --> <verb> +----------+ | | イーサネット | A-box |:::::: | |.2 : 192.168.0.x +----------+ : : +----------+ PPP +----------+ : .1 | Linux | link | | :::::::| Masq-Gate|:::::::::::::::::::// インターネット | B-box |:::::: | | 111.222.121.212 | |.3 : +----------+ +----------+ : (マスカレード : ゲートウェイ) +----------+ : | | : | C-box |:::::: | |.4 +----------+ | | | | <-内部ネットワーク--> | | <- 外部ネットワーク ----> | | | </verb> <!-- In this example, there are (4) computer systems that we are concerned about. There is also presumably something on the far right that your PPP connection to the Internet comes through (terminal server, etc.) and that there is some remote host (very far off to the right of the page) out on the Internet that you are interested communicating with). The Linux system <bf><tt>Masq-Gate</tt></bf> is the IP Masquerading gateway for ALL the internal network of machines <bf><tt>A-box</tt></bf>, <bf><tt>B-box</tt></bf> and <bf><tt>C-box</tt></bf> to get to the Internet. The internal network uses one of the <htmlurl url="http://www.cis.ohio-state.edu/htbin/rfc/rfc1918.html" name="several RFC-1918 assigned private network addresses"> where in this case, the Class-C network 192.168.0.0. The Linux box having the TCP/IP address 192.168.0.1 while the other systems having the addresses: --> この例では、4台のコンピュータシステムが接続されています。 またおそらくその他に、図のもっと右側にインターネットへの PPP 接続 を提供するホストが、そしてさらにその右側にはあなたが情報をやり取り したいと思うインターネット上のリモートホストが存在することでしょう。 Linux システム <bf><tt>masq-gate</tt></bf> は IP マスカレードを行う ゲートウェイで、マシン <bf><tt>A-box</tt></bf>、<bf><tt>B-box</tt></bf> 及び <bf><tt>C-box</tt></bf> から構成される内部ネットワークから インターネットへの接続を行います。 内部ネットワークは <htmlurl url="http://www.cis.ohio-state.edu/htbin/rfc/rfc1918.html" name="RFC-1918 にて割り当てられた幾つかのプライベートネットワークアドレス"> の一つ (この例では 192.168.0.0) を使います。 Linux box は TCP/IP アドレス 192.168.0.1 を持ち、その他のホストは 以下のアドレスを持っています - <p> <itemize> <item>A-Box: 192.168.0.2 <item>B-Box: 192.168.0.3 <item>C-Box: 192.168.0.4 </itemize> <!-- The three machines, <tt>A-box</tt>, <tt>B-box</tt> and <tt>C-box</tt>, can be running any operating system as long as they can speak TCP/IP. OSes such as <bf>Windows 95</bf>, <bf>Macintosh MacTCP or OpenTransport </bf> or even another <bf>Linux box</bf> can connect to other machines on the Internet. When running, the masquerading system or <tt>MASQ-gate</tt> converts all of these internal connections so that they appear to originate from <tt>masq-gate</tt> itself. MASQ then arranges so that data coming back in to a masqueraded connection is relayed back to the proper originating system. Because of this, the systems on the internal network see a direct route to the internet and are unaware that their data is being masqueraded. This is called a "Transparent" connection. --> 3台のマシン <tt>A-box</tt> 、<tt>B-box</tt> 及び <tt>C-box</tt>は TCP/IP を話すことができればどんなオペレーティングシステムが動作して いても構いません。 OS は <bf>Windows 95</bf> 、 <bf>Macintosh MacTCP 或は OpenTransport</bf> 或は別の <bf>Linux box</bf> など、インターネット上の他のマシンに接続 できるものです。 動作中、マスカレーディングシステム或は <tt>MASQ-gate</tt> はこれら 内部接続の全てを <tt>masq-gate</tt> 自身から発生するように見えるように 変換します。 次にマスカレードは、マスカレードされた接続へ戻ってくるデータが中継されて、 発信元のシステムへ戻されるように処理します。 これにより、内部ネットワーク上のシステムからはインターネットへの直接 経路があるように見え、データがマスカレードされていることは意識しません。 これを "透過的な" 接続と呼びます。 <!-- NOTE: Please see the <ref id="FAQ"> for more details on topics such as: --> 注意 - 以下に示すトピックの詳細については <ref id="FAQ" name="よくある質問 (FAQ)"> をご覧ください - <p> <!-- <itemize> <item>The differences between NAT, MASQ, and Proxy servers. <item>How packet firewalls work </itemize> --> <itemize> <item>NAT, MASQ とプロキシサーバとの相違点 <item>パケットファイアウォールの動作 </itemize> <label id="2.2.x-Requirements"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Requirements for IP Masquerade on Linux 2.2.x --> <sect1> IP マスカレードを Linux 2.2.x で使うための必要条件 <p> <!-- <quote> <bf> ** Please refer to <url url="http://ipmasq.cjb.net/" name="IP Masquerade Resource"> for the latest information. ** </bf> </quote> --> <quote> <bf> ** 最新の情報については <url url="http://ipmasq.cjb.net/" name="IP マスカレードの情報源"> を参照してください。 ** </bf> </quote> <p> <!-- <itemize> <item>Kernel 2.2.x source available from <htmlurl url="http://www.kernel.org/" name="http://www.kernel.org/"> &nl; NOTE #1: Linux 2.2.x kernels less than 2.2.16 have a TCP root exploit vunerability and versions less than 2.2.11 have a IPCHAINS fragmentation bug. Because of this, people running strong IPCHAINS rulesets are open to attack. Please upgrade your kernel to a fixed version. <p> NOTE #2: Most newer <ref id="MASQ-supported-Distributions"> such as Redhat 5.2 might not be Linux 2.2.x ready for your setup. Tools like DHCP, NetUtils, etc. will need to be upgraded. More details can be found in the HOWTO. <p> <item>Loadable kernel modules, preferably 2.1.121 or newer available from <htmlurl url="http://www.pi.se/blox/modutils/index.html" name="http://www.pi.se/blox/modutils/index.html"> or <htmlurl url="ftp://ftp.ocs.com.au/pub/modutils/" name="ftp://ftp.ocs.com.au/pub/modutils/"> <p> <item>A running TCP/IP network or LAN covered in <url url="http://www.linuxdoc.org/HOWTO/NET3-4-HOWTO.html" name="Linux NET-3-4 HOWTO"> and the <url url="http://www.linuxdoc.org/LDP/nag/nag.html" name="Network Administrator's Guide"> &nl; Also check out the <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS"> document. TrinityOS is a very comprehensive guide on Linux networking. Including topics like IP MASQ, security, DNS, DHCP, Sendmail, PPP, Diald, NFS, IPSEC-based VPNs, and performance sections to name a few. Over Fifty sections in all! <p> <item>Connectivity to Internet for your Linux host covered in <url url="http://www.linuxdoc.org/HOWTO/ISP-Hookup-HOWTO.html" name="Linux ISP Hookup HOWTO">, <url url="http://www.linuxdoc.org/HOWTO/PPP-HOWTO.html" name="Linux PPP HOWTO">, <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS">, <url url="http://www.linuxdoc.org/HOWTO/mini/DHCP/index.html" name="Linux DHCP mini-HOWTO">, <url url="http://www.linuxdoc.org/HOWTO/Cable-Modem/index.html" name="Linux Cable Modem mini-HOWTO"> and <url url="http://www.linuxdoc.org/HOWTO/mini/ADSL.html" name="http://www.linuxdoc.org/HOWTO/mini/ADSL.html"> <p> <item>IP Chains 1.3.9 or newer available from <htmlurl url="http://netfilter.filewatcher.org/ipchains/" name="http://netfilter.filewatcher.org/ipchains/">. &nl; Additional information on version requirements, find the newest IPCHAINS HOWTO, etc is at the <url url="http://netfilter.filewatcher.org/ipchains/" name="Linux IP Chains page"> <p> <item>Know how to configure, compile, and install a new Linux kernel as described in the <url url="http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html" name="Linux Kernel HOWTO"> <p> <item>You can download and use various optional IP Masquerade tools to enable other functionality such as: <itemize> TCP/IP port-forwarders or re-directors: <itemize> <item><url url="http://juanjox.kernelnotes.org/" name="IP PortForwarding (IPMASQADM) - RECOMMENDED"> or his old <htmlurl url="http://www.geocities.com/SiliconValley/Campus/4869/" name="mirror">. </itemize> </itemize> <p> ICQ MASQ module <itemize> <item><htmlurl url="http://members.tripod.com/~djsf/masq-icq/" name="Andrew Deryabin's ICQ MASQ module "> </itemize> <p> PORTFW FTP Solutions: <itemize> <item>There are both 2.2.x and 2.0.x kernel MASQ Module solutions for PORTFWed FTP to a MASQed machine. Please see the Application Page on the <htmlurl url="http://ipmasq.cjb.net" name="IPMASQ WWW site"> for full details. <item>There is a full FTP proxy application from SuSe that will also allow for PORTFWed-like functionality to reach an internal FTP server. For more details, please see the <htmlurl url="http://www.suse.de/en/support/proxy_suite/index.html" name="SuSe Proxy URL"> for more details. </itemize> <p> IPROUTE2 for True 1:1 NAT, Policy-based (source) routing, and Traffic Shaping: <p> <itemize> <item><htmlurl url="ftp://ftp.inr.ac.ru/ip-routing/" name="ftp://ftp.inr.ac.ru/ip-routing"> <p> <item>Documentation can be found at <htmlurl url="http://www.compendium.com.ar/policy-routing.txt" name="http://www.compendium.com.ar/policy-routing.txt"> <item>The <htmlurl url="http://www.linuxdoc.org/HOWTO/Adv-Routing-HOWTO.html" name="Advanced Routing HOWTO"> <item><htmlurl url="http://defiant.coinet.com/iproute2/"> <p> Some source code mirrors are: <p> <htmlurl url="ftp://linux.wauug.org/pub/net" name="ftp://linux.wauug.org/pub/net"> <htmlurl url="ftp://ftp.nc.ras.ru/pub/mirrors/ftp.inr.ac.ru/ip-routing/" name="ftp://ftp.nc.ras.ru/pub/mirrors/ftp.inr.ac.ru/ip-routing/"> <htmlurl url="ftp://ftp.gts.cz/MIRRORS/ftp.inr.ac.ru/" name="ftp://ftp.gts.cz/MIRRORS/ftp.inr.ac.ru/"> <htmlurl url="ftp://ftp.funet.fi/pub/mirrors/ftp.inr.ac.ru/ip-routing/" name="ftp://ftp.funet.fi/pub/mirrors/ftp.inr.ac.ru/ip-routing/ (STM1 to USA)"> <htmlurl url="ftp://sunsite.icm.edu.pl/pub/Linux/iproute/" name="ftp://sunsite.icm.edu.pl/pub/Linux/iproute/"> <htmlurl url="ftp://ftp.sunet.se/pub/Linux/ip-routing/" name="ftp://ftp.sunet.se/pub/Linux/ip-routing/"> <htmlurl url="ftp://ftp.nvg.ntnu.no/pub/linux/ip-routing/" name="ftp://ftp.nvg.ntnu.no/pub/linux/ip-routing/"> <htmlurl url="ftp://ftp.crc.ca/pub/systems/linux/ip-routing/" name="ftp://ftp.crc.ca/pub/systems/linux/ip-routing/"> <htmlurl url="ftp://ftp.paname.org" name="ftp://ftp.paname.org (France)"> <htmlurl url="ftp://donlug.ua/pub/mirrors/ip-route/" name="ftp://donlug.ua/pub/mirrors/ip-route/"> <htmlurl url="ftp://omni.rk.tusur.ru/mirrors/ftp.inr.ac.ru/ip-routing/" name="ftp://omni.rk.tusur.ru/mirrors/ftp.inr.ac.ru/ip-routing/"> <p> RPMs are available at <htmlurl url="ftp://omni.rk.tusur.ru/Tango/" name="ftp://omni.rk.tusur.ru/Tango/"> and at <htmlurl url="ftp://ftp4.dgtu.donetsk.ua/pub/RedHat/Contrib-Donbass/KAD/" name="ftp://ftp4.dgtu.donetsk.ua/pub/RedHat/Contrib-Donbass/KAD/"> </itemize> Please see the <url url="http://ipmasq.cjb.net/" name="IP Masquerade Resource"> page for more information available on these patches and possibly others as well. </itemize> --> <itemize> <item>カーネル 2.2.x ソースは <htmlurl url="http://www.kernel.org/" name="http://www.kernel.org/"> から入手可能です。 &nl; 注意 #1 - Linux 2.2.x カーネルの 2.2.16 以前のバージョンは TCP 接続に おいてルート権限が搾取される弱点があり、 2.2.11 以前のバージョンには IPCHAINS のフラグメンテーションにバグがあります。 このため、これらのバージョンで強力な IPCHAINS のルールセットを動作 させる人は、攻撃に対して無防備です。 カーネルを修正済みバージョンへアップグレードしてください。 <p> 注意 #2 - Redhat 5.2 のような、多くのより新しい <ref id="MASQ-supported-Distributions" name="マスカレードサポート済みディストリビューション"> は、 Linux 2.2.x に対応していません。 DHCP, NetUtils 等のツールはアップグレードの必要があります。 詳細はこの HOWTO にあります。 <p> <item>ロード可能なカーネルモジュール、好ましくは 2.1.121 以降。 <htmlurl url="http://www.pi.se/blox/modutils/index.html" name="http://www.pi.se/blox/modutils/index.html"> 或は <htmlurl url="ftp://ftp.ocs.com.au/pub/modutils/" name="ftp://ftp.ocs.com.au/pub/modutils/"> から入手可能です。 <p> <item><url url="http://www.linuxdoc.org/HOWTO/NET3-4-HOWTO.html" name="Linux NET-3-4 HOWTO"> 及び <url url="http://www.linuxdoc.org/LDP/nag/nag.html" name="Network Administrator's Guide">で扱われているTCP/IP ネットワーク 或は LAN &nl; <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS"> のドキュメントも調べておいてください。 TrinityOS は Linux ネットワーキングにおけるとても広範囲なガイドです。 IP マスカレード、セキュリティ、 DNS, DHCP, Sendmail, PPP, Diald, NFS, IPSEC ベースの VPN, またパフォーマンスの章が少々挙げられます。 50 以上の章があります。 <p> <item>Linux ホストのインターネットへの接続に関しては、以下の文書にて 扱われています - <url url="http://www.linuxdoc.org/HOWTO/ISP-Hookup-HOWTO.html" name="Linux ISP Hookup HOWTO">, <url url="http://www.linuxdoc.org/HOWTO/PPP-HOWTO.html" name="Linux PPP HOWTO">, <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS">, <url url="http://www.linuxdoc.org/HOWTO/mini/DHCP/index.html" name="Linux DHCP mini-HOWTO">, <url url="http://www.linuxdoc.org/HOWTO/Cable-Modem/index.html" name="Linux Cable Modem mini-HOWTO"> そして <url url="http://www.linuxdoc.org/HOWTO/mini/ADSL.html" name="http://www.linuxdoc.org/HOWTO/mini/ADSL.html"> <p> <item>IPCHAINS 1.3.9 以降のバージョンは <htmlurl url="http://netfilter.filewatcher.org/ipchains/" name="http://netfilter.filewatcher.org/ipchains/"> から入手可能です。 &nl; バージョンの必要条件に関する更なる情報に関しては、最新の IPCHAINS HOWTO 等は <url url="http://netfilter.filewatcher.org/ipchains/" name="Linux IP Firewalling Chains page"> から得られます。 <p> <item>新しいカーネルの設定、コンパイル及びインストールのノウハウは <url url="http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html" name="Linux Kernel HOWTO"> に詳しく書かれています。 <p> <item>その他諸々の機能を実現する付加的な IP マスカレードツールは以下から ダウンロードして使用できます - <itemize> TCP/IP ポートフォワーダ又はリダイレクタ - <itemize> <item><url url="http://juanjox.kernelnotes.org/" name="IP ポートフォワーディング (IPMASQADM) - お薦め"> 又は彼の古い <htmlurl url="http://www.geocities.com/SiliconValley/Campus/4869/" name="ミラー"> 。 </itemize> </itemize> <p> ICQ MASQ モジュール <itemize> <item><htmlurl url="http://members.tripod.com/~djsf/masq-icq/" name="Andrew Deryabin の ICQ MASQ モジュール "> </itemize> <p> PORTFW FTP ソリューション(問題解決方法) - <itemize> <item>マスカレードされたマシンへ FTP をポートフォワーディングする ための、2.2.x と 2.0.x の両方のカーネルの MASQ モジュールの 問題解決方法があります。 詳細は <htmlurl url="http://ipmasq.cjb.net/" name="IP マスカレードの情報源"> のアプリケーションページをご覧ください。 <item> SuSe に、内部の FTP サーバに到達する為のポートフォワーディングに 似た機能を提供する完全な FTP プロキシアプリケーションがあります。 詳細は <htmlurl url="http://www.suse.de/en/support/proxy_suite/index.html" name="SuSe Proxy URL"> をご覧ください。 </itemize> <p> 真の 1 対 1 NAT の為の IPROUTE2, ポリシーベースの (発信元) ルーティング、 そして トラフィックシェイピング - <p> <itemize> <item><htmlurl url="ftp://ftp.inr.ac.ru/ip-routing/" name="ftp://ftp.inr.ac.ru/ip-routing"> <p> <item>文書は <htmlurl url="http://www.compendium.com.ar/policy-routing.txt" name="http://www.compendium.com.ar/policy-routing.txt"> より入手可能です。 <item><htmlurl url="http://www.linuxdoc.org/HOWTO/Adv-Routing-HOWTO.html" name="Advanced Routing HOWTO"> <item><htmlurl url="http://defiant.coinet.com/iproute2/"> <p> ソースコードのミラーは以下にあります - <p> <htmlurl url="ftp://linux.wauug.org/pub/net" name="ftp://linux.wauug.org/pub/net"> <htmlurl url="ftp://ftp.nc.ras.ru/pub/mirrors/ftp.inr.ac.ru/ip-routing/" name="ftp://ftp.nc.ras.ru/pub/mirrors/ftp.inr.ac.ru/ip-routing/"> <htmlurl url="ftp://ftp.gts.cz/MIRRORS/ftp.inr.ac.ru/" name="ftp://ftp.gts.cz/MIRRORS/ftp.inr.ac.ru/"> <htmlurl url="ftp://ftp.funet.fi/pub/mirrors/ftp.inr.ac.ru/ip-routing/" name="ftp://ftp.funet.fi/pub/mirrors/ftp.inr.ac.ru/ip-routing/ (STM1 to USA)"> <htmlurl url="ftp://sunsite.icm.edu.pl/pub/Linux/iproute/" name="ftp://sunsite.icm.edu.pl/pub/Linux/iproute/"> <htmlurl url="ftp://ftp.sunet.se/pub/Linux/ip-routing/" name="ftp://ftp.sunet.se/pub/Linux/ip-routing/"> <htmlurl url="ftp://ftp.nvg.ntnu.no/pub/linux/ip-routing/" name="ftp://ftp.nvg.ntnu.no/pub/linux/ip-routing/"> <htmlurl url="ftp://ftp.crc.ca/pub/systems/linux/ip-routing/" name="ftp://ftp.crc.ca/pub/systems/linux/ip-routing/"> <htmlurl url="ftp://ftp.paname.org" name="ftp://ftp.paname.org (France)"> <htmlurl url="ftp://donlug.ua/pub/mirrors/ip-route/" name="ftp://donlug.ua/pub/mirrors/ip-route/"> <htmlurl url="ftp://omni.rk.tusur.ru/mirrors/ftp.inr.ac.ru/ip-routing/" name="ftp://omni.rk.tusur.ru/mirrors/ftp.inr.ac.ru/ip-routing/"> <p> RPM パッケージは <htmlurl url="ftp://omni.rk.tusur.ru/Tango/" name="ftp://omni.rk.tusur.ru/Tango/"> と <htmlurl url="ftp://ftp4.dgtu.donetsk.ua/pub/RedHat/Contrib-Donbass/KAD/" name="ftp://ftp4.dgtu.donetsk.ua/pub/RedHat/Contrib-Donbass/KAD/"> から入手可能です。 </itemize> 詳細な情報とその他パッチ等は <url url="http://ipmasq.cjb.net/" name="IP マスカレードの情報源"> をご覧ください。 </itemize> <label id="2.3.x/2.4.x-Requirements"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Requirements for IP Masquerade on Linux 2.3.x and 2.4.x --> <sect1> IP マスカレードを Linux 2.3.x 及び 2.4.x で使うための必要条件 <p> <!-- <quote> <bf> ** Please refer to <url url="http://ipmasq.cjb.net/" name="IP Masquerade Resource"> for the latest information. ** </bf> </quote> --> <quote> <bf> ** 最新情報については <url url="http://ipmasq.cjb.net/" name="IP マスカレードの情報源"> を参照してください。 ** </bf> </quote> <p> <label id="NetFilter"> <!-- <itemize> <item>The newest 2.3.x and 2.4.x kernels are now using a completely new system called NetFilter (much like the 2.2.x kernels went to IPCHAINS). Fortunately <bf>unlike</bf> the migration to IPCHAINS, the new NetFilter tool has kernel modules that can actually NATIVELY support both IPCHAINS and IPFWADM syntax so re-writing your old script is not required. Now, there might be several benefits to do a re-write (speed, new features, etc) but that is dependant on how good your old rulesets were. Many architectural changes have gone into this new code that will give the user a lot more flexibility, future features, etc. <p> Some of the new functionality includes the following pros and cons: <p> <bf>PROs:</bf> <itemize> <p> <item>Offers TRUE 1:1 NAT functionality for those who have TCP/IP subnets to play with <item>Built-in PORT Forwarding which makes IPMASQADM no longer required <item>The new built-in PORTFWing ability works for both external and internal traffic. This means that users using PORTFW for external traffic and REDIR for internal redirection don't have to use two tools any more! <item>Full Policy-Based routing features (source-based TCP/IP address routing) <item>Compatibly with Linux's FastRoute feature for significantly faster packet forwartding (a.k.a Linux network switching) <item>Fully supports TCP/IP v4, v6, and even DECnet (ack!) <item>Supports wildcard interface names like ppp* for PPP0, PPP1, etc <item>Supports filtering on both input and output INTERFACES <item>Ethernet MAC filtering <item>Denial of Service (DoS) packet rate limiting <item>Very simple and generic Stateful-like inspection functionality <item>Packet REJECTs now have user-selectable return ICMP messages <item>Variable levels of logging (different packets can goto different SYSLOG levels </itemize> <p> <bf>CONs:</bf> <itemize> <p> <item>Because Netfilter is an entirely new architecure, most of all the old MASQ kernel modules need to be re-written. Namely, on the FTP module has been updated though the following modules remain to be re-written: <p> ip_masq_cuseeme.o ip_masq_icq.o ip_masq_quake.o ip_masq_user.o ip_masq_irc.o ip_masq_raudio.o ip_masq_vdolive.o <p> There is documentation on how to do this porting at <url url="http://netfilter.kernelnotes.org/unreliable-guides/netfilter-hacking-HOWTO-5.html" name="http://netfilter.kernelnotes.org/unreliable-guides/netfilter-hacking-HOWTO-5.html">, If you have the time, you talent would highly appreciated to get these ported over quickly. </itemize> <p> As of this version of the HOWTO, Netfilter is NOT covered. Once the feature set of NetFilter is set, it will be added to -this- HOWTO or possibly a new HOWTO. Until then, please see the following links for the available NetFilter documentation. As it stands, the new NetFilter code will share 95% of the same setup and troubleshooting issues that IPCHAINS users have today. Because of this fact, this HOWTO is still very relevant for NetFilter firewall and NAT users. <p> <htmlurl url="http://netfilter.filewatcher.org/unreliable-guides/index.html" name="http://netfilter.filewatcher.org/unreliable-guides/index.html"> and more specifically <htmlurl url="http://netfilter.filewatcher.org/unreliable-guides/NAT-HOWTO.html" name="http://netfilter.filewatcher.org/unreliable-guides/NAT-HOWTO.html"> </itemize> Please see the <url url="http://ipmasq.cjb.net/" name="IP Masquerade Resource"> page for more information available on these patches and possibly others as well. --> <itemize> <item>現在、最新の 2.3.x 及び 2.4.x カーネルは NetFilter と呼ばれる 全く新しいシステムが導入されています ( 2.2.x カーネルにおける IPCHAINS に似ています)。 幸い、 IPCHAINS への移行の時とは<bf>異なり</bf>、新しい NetFilter ツールは、現状の IPCHAINS と IPFWADM の文法に*完全に*適合できる カーネルモジュールを持っているので、古いスクリプトを書き換える必要は ありません。 さて、どれほどあなたがご自身の古いルールセットの良さに依存していたと しても、それを書き換えることによる幾つかの利点 (スピード、新しい 機能等) があります。 ユーザーに多くの柔軟性と将来の機能等を提供する、多くの 基本設計的な変更が、新しいコードによりもたらされました。 <p> 新しい機能の中にはこんな賛否両論を含んでいるものもあります - <p> <bf>賛成意見 - </bf> <itemize> <p> <item>TCP/IP サブネットに真の 1:1 NAT 機能を提供します。 <item>ビルトインタイプのポートフォワーディングはもはや IPMASQADM を必要としません。 <item>新しいビルトインタイプのポートフォワーディング機能は、外部と 内部のトラフィックの両方に対して動作します。 このことは外部トラフィックに PORTFW を使い、内部リダイレクションに REDIR を使っていたユーザーにとって、もはやこの二つのツールを使う 必要がないことを意味します。 <item>完全にポリシーベースのルーティング機能 (ソースベースの TCP/IP アドレスルーティング) 。 <item>より高速なパケットフォワーディングを表す Linuxの FastRoute 機能との互換性 ( Linux ネットワークスイッチングとして知られています) 。 <item>TCP/IP v4, v6, そして DECnet でさえも完全にサポートします。 <!-- <item>Fully supports TCP/IP v4, v6, and even DECnet (ack!) ここの (ack!) って何を意味するんでしょう? --> <item>PPP0, PPP1, 等を指す ppp* のようなワイルドカード インターフェースをサポートします。 <item>input と output の両方のインターフェースに対してフィルタリング をサポートします。 <item>イーサネットの MAC フィルタリング。 <item>サービス不能攻撃 (DoS: Denial of Service) パケットレートの 制限。 <item>とてもシンプルで汎用的な状態検査機能 <!-- Stateful-like inspection って何でしょう? --> <item>パケット REJECT は現在ユーザーが選択可能な ICMP メッセージの 返答をサポートします。 <item>変更可能なロギングレベル (異なるパケットが異なる SYSLOG レベル に到達できます) </itemize> <p> <bf>反対意見 - </bf> <itemize> <p> <item>Netfilter は全く新しいアーキテクチャだから、殆ど全ての古い MASQ カーネルモジュールは書き換える必要が生じます。 すなわち、 FTP モジュールはアップデートされましたが、以下のモジュール は書き換えが済んでいません: <p> ip_masq_cuseeme.o ip_masq_icq.o ip_masq_quake.o ip_masq_user.o ip_masq_irc.o ip_masq_raudio.o ip_masq_vdolive.o <p> この移植をどうするかについての文書は <url url="http://netfilter.kernelnotes.org/unreliable-guides/netfilter-hacking-HOWTO-5.html" name="http://netfilter.kernelnotes.org/unreliable-guides/netfilter-hacking-HOWTO-5.html"> にあります。 時間がありましたら、これらを早く移植することであなたの才能は高く評価 されることでしょう。 </itemize> <p> このバージョンの HOWTO では、 Netfilter はカバーしていません。 一旦 Netfilter の特徴が固定されれば、 -この- HOWTO に追加されるか、 新たな HOWTO に書かれるでしょう。 それまでは、以下に示す Netfilter の文書へのリンクを参照してください。 現状では、新しい Netfilter コードは、今日 IPCHAINS ユーザが用いる 設定とトラブルシューティングの 95% 同じものを共有できています。 ですので、この HOWTO は未だ Netfilter によるファイアウォールと NAT ユーザーにとっても非常に適切です。 <p> <htmlurl url="http://netfilter.filewatcher.org/unreliable-guides/index.html" name="http://netfilter.filewatcher.org/unreliable-guides/index.html"> そしてより詳細には <htmlurl url="http://netfilter.filewatcher.org/unreliable-guides/NAT-HOWTO.html" name="http://netfilter.filewatcher.org/unreliable-guides/NAT-HOWTO.html"> をどうぞ。 </itemize> 詳細な情報とその他パッチ等は <url url="http://ipmasq.cjb.net/" name="IP マスカレードの情報源"> をご覧ください。 <label id="2.0.x-Requirements"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Requirements for IP Masquerade on Linux 2.0.x --> <sect1> IP マスカレードを Linux 2.0.x で使うための必要条件 <p> <!-- <quote> <bf> ** Please refer to <url url="http://ipmasq.cjb.net/" name="IP Masquerade Resource"> for the latest information. ** </bf> </quote> --> <quote> <bf> ** 最新情報は <url url="http://ipmasq.cjb.net/" name="IP マスカレードの情報源"> を参照してください。 ** </bf> </quote> <p> <!-- <itemize> <item>Any decent computer hardware. See the <ref id="FAQ-Hardware"> section for more details. <p> <item>Kernel 2.0.x source available from <htmlurl url="http://www.kernel.org/" name="http://www.kernel.org/"> &nl; (Most modern Linux <ref id="MASQ-supported-Distributions"> such as Redhat 5.2 have modular kernels with all the IP Masquerade kernel options compiled in. In such cases, there is no need to compile a new Linux kernel. If you are UPGRADING your kernel, you should be aware of what other programs might be required and/or upgraded (mentioned later in the HOWTO.) <p> <item>Loadable kernel modules, preferably 2.1.85 or newer available from <htmlurl url="http://www.pi.se/blox/modutils/index.html" name="http://www.pi.se/blox/modutils/index.html"> or <htmlurl url="ftp://ftp.ocs.com.au/pub/modutils/" name="ftp://ftp.ocs.com.au/pub/modutils/"> &nl; (modules-1.3.57 is the minimal requirement) <p> <item>A running TCP/IP network or LAN covered in <url url="http://www.linuxdocs.org/NET3-4-HOWTO.html" name="Linux NET-3-4 HOWTO"> and the <url url="http://www.linuxdoc.org/LDP/nag/nag.html" name="Network Administrator's Guide"> &nl; Also check out the <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS"> deocument. TrinityOS is a very comprehensive guide on Linux networking including topics like IP MASQ, security, DNS, DHCP, Sendmail, PPP, Diald, NFS, IPSEC-based VPNs, and performance sections just to name a few. Over Fifty sections in all! <p> <item>Connectivity to the Internet for your Linux host covered in <url url="http://www.linuxdoc.org/HOWTO/ISP-Hookup-HOWTO.html" name="Linux ISP Hookup HOWTO">, <url url="http://www.linuxdoc.org/HOWTO/PPP-HOWTO.html" name="Linux PPP HOWTO">, <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS">, <url url="http://www.linuxdoc.org/HOWTO/mini/DHCP/index.html" name="Linux DHCP mini-HOWTO">, <url url="http://www.linuxdoc.org/HOWTO/Cable-Modem/index.html" name="Linux Cable Modem mini-HOWTO"> and <url url="http://www.linuxdoc.org/HOWTO/mini/ADSL.html" name="Linux ADSL mini-HOWTO"> <p> <item>Ipfwadm 2.3 or newer available from <htmlurl url="ftp://ftp.xos.nl/pub/linux/ipfwadm/ipfwadm-2.3.0.tar.gz" name="ftp://ftp.xos.nl/pub/linux/ipfwadm/ipfwadm-2.3.tar.gz"> &nl; More information on version requirement is on the <url url="http://www.xos.nl/linux/ipfwadm/" name="Linux IPFWADM page"> <p> <itemize> <item>If you are interested in running IPCHAINS on a 2.0.38+ kernel, see <url url="http://www-miaif.lip6.fr/willy/pub/linux-patches/" name="Willy Tarreau's IPCHAINS enabler for 2.0.36"> or <htmlurl url="http://www.linuxdoc.org/HOWTO/IPCHAINS-HOWTO.html" name="Rusty's IPCHAINS for 2.0.x kernels"> </itemize> <p> <item>Know how to configure, compile, and install a new Linux kernel as described in the <url url="http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html" name="Linux Kernel HOWTO"> <p> <item>You can also apply various optional IP Masquerade patches to enable other functionality such as: <p> <itemize> <item>TCP/IP port-forwarders or re-directors: With these tools, you can get some non-MASQ friendly programs to work behind a MASQ server. In addition to this, you can configure a MASQ server to let Internet users contact internal WWW, TELNET, SMTP, FTP (with a patch), etc., servers. See <ref id="Forwarders"> section of the HOWTO for more information. Here is a list of IP Masquerading patches for 2.0.x kernels: <p> <itemize> <item>Steven Clarke's <htmlurl url="http://www.ox.compsoc.org.uk/~steve/portforwarding.html" name="IP PortForwarding (IPPORTFW)"> - <bf>RECOMMENDED</bf> <item><htmlurl url="http://ipmasq.cjb.net/ipautofw.tar.gz" name="IP AutoForward"> and <url url="ftp://ftp.netis.com/pub/members/rlynch/ipautofw.tar.gz" name="a mirror"> (IPAUTOFW) - <htmlurl url="http://ipmasq.cjb.net/tcpdeath.html" name="NOT Recommended"> <item><url url="http://ipmasq.cjb.net/redir_0.7.orig.tar.gz" name="REDIR"> for TCP (REDIR) - NOT Recommended <item> <htmlurl url="http://ipmasq.cjb.net/udpred.c.gz" name="UDP redirector"> (UDPRED) - NOT Recommended </itemize> <p> PORTFWed FTP: <p> <itemize> <item>If you are going to port forward FTP traffic to an internal FTP server, you might need to download <htmlurl url="http://ipmasq.cjb.net/patches/portfw-ftp-patch.tgz" name="Fred Viles's FTP server patch via HTTP"> or <htmlurl url="ftp://ftp.e-infomax.com/ipmasq/patches/portfw-ftp-patch.tgz" name="Fred Viles's FTP server patch via FTP">. The reason for "might" is some users have had success while other needs this modified kernel module. Explicit details on this topic can be found in the <ref id="Forwarders"> section of the HOWTO. </itemize> <p> X-Windows display forwarders: <itemize> <item><url url="ftp://sunsite.unc.edu/pub/Linux/X11/compress/dxpc-3.7.0.tar.gz" name="X-windows forwarding (DXCP)"> </itemize> <p> ICQ MASQ module <itemize> <item><htmlurl url="http://members.tripod.com/~djsf/masq-icq/" name="Andrew Deryabin's ICQ MASQ module "> </itemize> <p> PPTP (GRE) and SWAN (IPSEC) VPNs tunneling forwarders: <itemize> <item><htmlurl url="ftp://ftp.rubyriver.com/pub/jhardin/masquerade/ip_masq_vpn.html" name="John Hardin's VPN Masquerade forwarders"> or the old patch for just <url url="http://ipmasq.cjb.net/ip_masq_pptp.patch.gz" name="PPTP Support">. </itemize> <p> Game specific patches: <itemize> <item>Glenn Lamb's <url url="ftp://ftp.netcom.com/pub/mu/mumford/loose-udp-2.0.36.patch.gz" name="LooseUDP for 2.0.36+"> patch. <p> Please note that some WWW browsers with automatically uncompress this .gz file. To download this file, hold down the SHIFT key as you click on the above URL. <p> Also check out Dan Kegel's <url url="http://www.alumni.caltech.edu/˜dank/peer-nat.html" name="NAT Page"> for more information. Additional information can be found in the <ref id="Game-Clients"> section and the <ref id="FAQ"> section. </itemize> </itemize> <p> Please see the <url url="http://ipmasq.cjb.net/" name="IP Masquerade Resource"> page for more information available on these patches and possibly others as well. </itemize> --> <itemize> <item>あらゆる真っ当なコンピュータハードウェア。詳細は <ref id="FAQ-Hardware" name="ハードウェア FAQ"> の章を参照してください。 <p> <item><htmlurl url="http://www.kernel.org/" name="http://www.kernel.org/"> から入手可能な 2.0.x のソース。 &nl; (Redhat 5.2 のような、多くの最近の Linux の <ref id="MASQ-supported-Distributions" name="マスカレードサポート済みディストリビューション"> は、コンパイル済 IP マスカレードカーネルモジュールを含んでいます。 このような場合、新たに Linux カーネルをコンパイルする必要はありません。 もし、カーネルをアップグレードするなら、他に新たなプログラムを必要と するか、或はアップグレードする必要があることを意識すべきでしょう。 (この HOWTO 文書内にて後述します。) <p> <item>ロード可能なカーネルモジュール、好ましくは 2.1.85 以降。<htmlurl url="http://www.pi.se/blox/modutils/index.html" name="http://www.pi.se/blox/modutils/index.html"> 或は <htmlurl url="ftp://ftp.ocs.com.au/pub/modutils/" name="ftp://ftp.ocs.com.au/pub/modutils/"> より入手可能です。 &nl; (最低でも modules-1.3.57 は必要です。) <p> <item><url url="http://www.linuxdocs.org/NET3-4-HOWTO.html" name="Linux NET-3-4 HOWTO"> 及び <url url="http://www.linuxdoc.org/LDP/nag/nag.html" name="Network Administrator's Guide"> で扱われ、稼働している、 TCP/IP ネットワーク。 &nl; また <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS"> 文書も調べておいてください。 TrinityOS は Linux ネットワーキングにおけるとても広範囲なガイドです。 IP マスカレード、セキュリティ、 DNS, DHCP, Sendmail, PPP, Diald, NFS, IPSEC ベースの VPN, またパフォーマンスの章が少々挙げられます。 50 以上の章があります。 <p> <item>Linux ホストのインターネットへの接続に関しては、以下の文書に て扱われています: <url url="http://www.linuxdoc.org/HOWTO/ISP-Hookup-HOWTO.html" name="Linux ISP Hookup HOWTO">, <url url="http://www.linuxdoc.org/HOWTO/PPP-HOWTO.html" name="Linux PPP HOWTO">, <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS">, <url url="http://www.linuxdoc.org/HOWTO/mini/DHCP/index.html" name="Linux DHCP mini-HOWTO">, <url url="http://www.linuxdoc.org/HOWTO/Cable-Modem/index.html" name="Linux Cable Modem mini-HOWTO"> そして <url url="http://www.linuxdoc.org/HOWTO/mini/ADSL.html" name="Linux ADSL mini-HOWTO"> <p> <item>Ipfwadm 2.3 以降は <htmlurl url="ftp://ftp.xos.nl/pub/linux/ipfwadm/ipfwadm-2.3.0.tar.gz" name="ftp://ftp.xos.nl/pub/linux/ipfwadm/ipfwadm-2.3.tar.gz"> から入手可能です。 &nl; 必要なバージョンに関するより詳細な情報は <url url="http://www.xos.nl/linux/ipfwadm/" name="Linux IPFWADM page"> にあります。 <p> <itemize> <item> もし 2.0.38+ カーネル上で IPCHAINS を動作させることに興味があるなら、 <url url="http://www-miaif.lip6.fr/willy/pub/linux-patches/" name="Willy Tarreau の 2.0.36 用 IPCHAINS イネーブラ"> 或は <htmlurl url="http://www.linuxdoc.org/HOWTO/IPCHAINS-HOWTO.html" name="Rusty の 2.0.x カーネル用 IPCHAINS"> を参照してください。 </itemize> <p> <item>新しいカーネルの設定、コンパイル及びインストールのノウハウは <url url="http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html" name="Linux Kernel HOWTO"> に詳しく書かれています。 <p> <item>その他諸々の機能を実現する付加的な IP マスカレードのパッチは 以下よりダウンロードして適用できます - <p> <itemize> <item>TCP/IP ポートフォワーダ又はリダイレクタ - これらのツールで、 非 MASQ 状態で動作させたいプログラムを MASQ サーバの後ろ側で稼働 させることができます。 これに加えて、 MASQ サーバをインターネットユーザーが内部の WWW, TELNET, SMTP, FTP (パッチが必要) 等のサーバに接続できるように設定 できます。 詳細はこの HOWTO の <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> の章をご覧ください。 以下は 2.0.x カーネル用 IP マスカレードのパッチの一覧です - <p> <itemize> <item>Steven Clarke 氏の <htmlurl url="http://www.ox.compsoc.org.uk/~steve/portforwarding.html" name="IP ポートフォワーディング (IPPORTFW)"> - <bf>お薦め</bf> <item><htmlurl url="http://ipmasq.cjb.net/ipautofw.tar.gz" name="IP オートフォワード"> 及び <url url="ftp://ftp.netis.com/pub/members/rlynch/ipautofw.tar.gz" name="ミラー"> (IPAUTOFW) - <htmlurl url="http://ipmasq.cjb.net/tcpdeath.html" name="お薦めしません"> <item><url url="http://ipmasq.cjb.net/redir_0.7.orig.tar.gz" name="リダイレクタ"> TCP 用 (REDIR) - お薦めしません <item> <htmlurl url="http://ipmasq.cjb.net/udpred.c.gz" name="UDP リダイレクタ"> (UDPRED) - お薦めしません </itemize> <p> ポートフォワード FTP - <p> <itemize> <item> FTP トラフィックを内部 FTP サーバへ転送するつもりなら、<htmlurl url="http://ipmasq.cjb.net/patches/portfw-ftp-patch.tgz" name="Fred Viles 氏の FTP サーバパッチ ( HTTP 経由)"> 又は <htmlurl url="ftp://ftp.e-infomax.com/ipmasq/patches/portfw-ftp-patch.tgz" name="Fred Viles 氏の FTP サーバパッチ ( FTP 経由)"> をダウンロードする必要があるでしょう。 「でしょう」と述べたのには訳がありまして、一部のユーザはパッチが適用 されたカーネルモジュールを持っている場合があるからです。 この話題に関する詳細はこの HOWTO の <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> の章をご覧ください。 </itemize> <p> X-Window ディスプレイフォワーダ - <itemize> <item><url url="ftp://sunsite.unc.edu/pub/Linux/X11/compress/dxpc-3.7.0.tar.gz" name="X-windows フォワーディング (DXCP)"> </itemize> <p> ICQ MASQ モジュール <itemize> <item><htmlurl url="http://members.tripod.com/~djsf/masq-icq/" name="Andrew Deryabin 氏の ICQ MASQ モジュール"> </itemize> <p> PPTP (GRE) 及び SWAN (IPSEC) VPN トンネリングフォワーダ - <itemize> <item><htmlurl url="ftp://ftp.rubyriver.com/pub/jhardin/masquerade/ip_masq_vpn.html" name="John Hardin 氏の VPN マスカレードフォワーダ"> 或は以下の古いパッチ <url url="http://ipmasq.cjb.net/ip_masq_pptp.patch.gz" name="PPTP サポート"> </itemize> <p> ゲーム特有のパッチ: <itemize> <item>Glenn Lamb 氏の <url url="ftp://ftp.netcom.com/pub/mu/mumford/loose-udp-2.0.36.patch.gz" name="2.0.36+ 用 LooseUDP"> パッチ。 <p> 一部の WWW ブラウザはこの .gz ファイルを自動的に解凍することに注 意してください。このファイルをダウンロードする際には、SHIFT キーを 押しながら上記 URL をクリックしてください。 <p> 詳細は Dan Kegel 氏の <url url="http://www.alumni.caltech.edu/˜dank/peer-nat.html" name="NAT Page"> も調べておいてください。 更なる情報は <ref id="Game-Clients" name="ゲームクライアント"> の章と <ref id="FAQ" name="よくある質問 (FAQ)"> の章でも得られます。 </itemize> </itemize> <p> 上記パッチ及びその他の詳細は <url url="http://ipmasq.cjb.net/" name="IP マスカレードの情報源"> にて入手できます。 </itemize> <!-- 2章ここまで 翻訳及び校正: 松田 --> <!-- Section 3 --> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect> Setting Up IP Masquerade --> <sect> IP マスカレードの設定 <p> <quote> <!-- <bf>If your private network contains any vital information, think carefully in terms of SECURITY before implementing IP Masquerade. By default, IP MASQ becomes a GATEWAY for you to get to the Internet but it also can allow someone on the Internet to possibly get into your internal network.</bf> --> <bf>プライベートネットワーク上に重要な情報がある場合には、 IP マスカレードを実装する前に、セキュリティの観点から慎重に検討して ください。 これを怠ると、 IP マスカレードはあなたがインターネットへ出て行く ゲートウェイになりますが、これと共に外側の世界にいる誰かがあなたの ネットワークに侵入するゲートウェイともなってしまうのです。</bf> <p> <!-- Once you have IP MASQ functioning, it is HIGHLY recommended for the user to implement a STRONG IPFWADM/IPCHAINS firewall ruleset. Please see the <ref id="Strong-IPFWADM-Rulesets"> and <ref id="Strong-IPCHAINS-Rulesets"> sections below for more details. --> ひとたび IP マスカレード機能を設定するならば、強力な IPFWADM/IPCHAINS によるファイアウォールのルールセットを実装することを強くお薦めします。 詳細は後述の <ref id="Strong-IPFWADM-Rulesets" name="強い IPFWADM のルールセット"> 及び <ref id="Strong-IPCHAINS-Rulesets" name="強い IPCHAINS のルールセット"> の章をご覧ください。 </quote> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Compiling the Kernel for IP Masquerade Support --> <label id="Kernel-Compile"> <sect1> IP マスカレードを組み込んだカーネルのコンパイル <p> <!-- <label id="Kernel-Compile"> 原文ではここに label 文が書かれていますが、章題の直前にあるべきだと 思いますので、敢えて移動しました。(松田) --> <quote> <!-- <bf>If your Linux distribution already has all the required feature support compiled such as:</bf> --> <bf> お使いの Linux ディストリビューションが、既に下記の必要な機能の全て をサポートしていて… - </bf> <!-- <itemize> <item>IPFWADM/IPCHAINS <item>IP forwarding <item>IP masquerading <item>IP Firewalling <item>etc. </itemize> --> <itemize> <item>IPFWADM/IPCHAINS <item>IP フォワーディング <item>IP マスカレーディング <item>IP ファイアウォーリング <item>その他 </itemize> <!-- and all MASQ-related modules compiled (most modular kernels will have all you need), then you will NOT need to re-compile the kernel. If you aren't sure if you Linux distribution is MASQ ready, see the <ref id="MASQ-supported-Distributions"> section. If you don't trust this list or if your distribution isn't listed, try the following tests: --> そして全ての MASQ に関係するモジュールがコンパイルされている (多くの モジュラーカーネルは必要とされる全てが含まれていることでしょう) なら、 カーネルを再コンパイルする必要はありません。 あなたの使用する Linux ディストリビューションが MASQ 機能を装備して いると自信が持てないなら、 <ref id="MASQ-supported-Distributions" name="マスカレードサポート済みディストリビューション"> の章を参照してください。 このリストが信用できないか、あなたの使用するディストリビューションが リストにないなら、以下のテストを試してみてください - <p> <!-- <itemize> <item>Run the command "ls /proc/sys/net/ipv4" while logged into the Linux box. <item>See if files such as "ip_forward", "ip_masq_debug", "ip_masq_udp_dloose"(optional), and "ip_always_defrag"(optional) exist. </itemize> --> <itemize> <item>Linux box にログインして、コマンド "ls /proc/sys/net/ipv4" を 実行してみてください。 <item>コマンドの表示結果の中に "ip_forward", "ip_masq_debug", "ip_masq_udp_dloose"(任意), 及び "ip_always_defrag"(任意) 等があるか確認してください。 </itemize> <!-- If they do, your kernel is ready to go. --> これらがあれば、あなたのカーネルにはマスカレード機能が実装されています。 <p> <!-- If you can't find any of the above files or if your distribution does support IP Masquerading by default, ASSUME IT DOESN'T support MASQ by default. If so.. you'll need to compile a kernel but don't worry.. it isn't hard. --> あなたの使用するディストリビューションが標準で IP マスカレーディング をサポートしているにもかかわらず上記ファイルが見つからない場合、 マスカレード機能はサポートされていないと推測せざるを得ません。 その場合…カーネルをコンパイルしなければなりません。 でも、ご心配無く。難しくないですから。 <p> <!-- Regardless of native support or not, reading this section is still highly recommended as it contains other useful information. --> 標準でサポートされているか否かにかかわらず、この章は他の有用な情報を 含んでいますので、読むことを強くお薦めします。 </quote> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect2> Linux 2.2.x Kernels --> <sect2> Linux 2.2.x カーネル <p> <!-- <bf>Please see the <ref id="2.2.x-Requirements"> section for any required software, patches, etc.</bf> --> <bf>必要とされるソフトウェアやパッチ等は <ref id="2.2.x-Requirements" name="2.2.x カーネルの必要条件"> の章をご覧ください。</bf> <p> <!-- <itemize> <item>First of all, you need the kernel source for 2.2.x (preferably the latest kernel version 2.2.16 or above) <p> NOTE #1: Linux 2.2.x kernels less than 2.2.16 have a TCP root exploit vunerability and versions less than 2.2.11 have a IPCHAINS fragmentation bug. Because of this, people running strong IPCHAINS rulesets are open to attack. Please upgrade your kernel to a fixed version. <p> NOTE #2: As the 2.2.x train as progressed, they keep changing the compile-time options. As of this version, this section reflects the settings for 2.2.15. If you are running a previous kernel version, the dialogs will look different. It is recommended that you update to the newest kernel for all the new features and stability they bring. <p> <item>If this is your first time compiling the kernel, don't be scared. In fact, it's rather easy and it's covered in several URLs found in the <ref id="2.2.x-Requirements"> section. <p> <item>Unpack the kernel source to <tt>/usr/src/</tt> with a command: <tt>tar xvzf linux-2.2.x.tar.gz -C /usr/src</tt>, where the "x" in 2.2.x is the current Linux 2.2 kernel. Once finished, make sure there is a directory or symbolic link to <tt>/usr/src/linux/</tt> <p> <item>Apply any appropriate or optional patches to the kernel source code. As of 2.2.1, IP Masq does not require any specific patching to get everything working. Features like PPTP and Xwindows forwarders are optional. Please refer to the <ref id="2.2.x-Requirements"> section for URLs and the <htmlurl url="http://ipmasq.cjb.net/" name="IP Masquerade Resources"> for up-to-date information and patch URLs. <p> <item>Here are the MINIMUM options that are needed to be compiled into the kernel. You will also need to configure the kernel to use your installed network interfaces as well. Refer to the <url url="http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html" name="Linux Kernel HOWTO"> and the README file in the kernel source directory for further instructions on compiling a kernel. <p> Please note the <bf><em>YES or NO ANSWERS</em></bf> to the following. Not all options will be available without the proper kernel patches described later in this HOWTO: </itemize> --> <itemize> <item>まず第一に、 2.2.x のカーネルソースが必要です。 (望ましくは 2.2.16 以降の最新のカーネルが良いです。) <p> 注意 #1 - 2.2.16 より以前の Linux 2.2.x カーネルには、 TCP 接続において ルート権限が搾取される弱点があり、 2.2.11 以前のバージョンには IPCHAINS のフラグメンテーションにバグがあります。 このため、強力な IPCHAINS のルールセットを動作させようとする人は、 これら攻撃に対して無防備です。 あなたのカーネルを修正済みバージョンへアップグレードしてください。 <p> 注意 #2 - 2.2.x カーネルが整備され続けられた結果、コンパイル時の オプションが変貌し続けています。 今回のバージョンの文書において、この章はカーネル 2.2.15 の設定内容 を反映しています。 もしもお使いのカーネルがもっと古いバージョンの場合ですと、ダイアログ の表示は違って見えるでしょう。 新機能や安定性をもたらす最新バージョンのカーネルへのアップグレード をお薦めします。 <p> <item>カーネルのコンパイルが初めてでも、恐がることはありません。 実の所かなり簡単ですし、 <ref id="2.2.x-Requirements" name="2.2.x カーネルの必要条件"> の章で示す幾つかの URL でも扱われています。 <p> <item>次のコマンドにてカーネルソースを <tt>/usr/src/</tt> ディレクトリ へ展開してください - <tt>tar xvzf linux-2.2.x.tar.gz -C /usr/src</tt> ここで、2.2.x の "x" は Linux 2.2 カーネルの現在のバージョンナンバー です。 完了しましたら、 <tt>/usr/src/linux/</tt> というディレクトリがあるか、 またはシンボリックリンクが張られていることを確認してください。 <p> <item>適当な、或は任意のパッチをカーネルソースコードに当ててください。 カーネル 2.2.1 の時点では、 IP Masq を稼働させる為の特殊なパッチ等 は不要です。 PPTP 及び Xwindow のフォワーディングの機能はオプションです。 <ref id="2.2.x-Requirements" name="2.2.x カーネルの必要条件"> の章にある URLと <htmlurl url="http://ipmasq.cjb.net/" name="IP マスカレードの情報源"> にある最新情報とパッチの URL を参照してください。 <p> <item>以下にカーネルをコンパイルする際に最低限必要なオプションを 記します。 インストールされたネットワークインターフェースも同様に設定する必要が あります。 カーネルをコンパイルする方法の詳細については、 <url url="http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html" name="Linux Kernel HOWTO"> と、カーネルソースディレクトリの README ファイルを参照してください。 【訳注: <url url="http://www.linux.or.jp/JF/JFdocs/Kernel-HOWTO.html" name="JFによる Kernel-HOWTO の日本語訳もあります。"> また、 Debian GNU/Linux では、 fakeroot と kernel-package というパッケージ を導入することで、カスタムカーネルの作成が一般ユーザのホームディレクトリ 配下で、簡単にできるようになっています。 但し、この文書中で示される make menuconfig 或は make xconfig の内容は 共通です。】 <!-- と、勢いで書いてしまいましたが、大丈夫でしょうか? カーネルイメージの作成だけなら、シンボリックリンクは不要ですが、 pcmcia や alsa のモジュールの作成にはシンボリックリンクが必要に なると認識しています。 Debian user のツッコミ宜しくです。 --> <p> 以下の <bf><em>YES or NO の選択</em></bf> に注意してください。 全てのオプションはこの HOWTO にて後述する正しいカーネルパッチなくして、 有効とは限りません。 </itemize> <!-- <tscreen> <verb> * Prompt for development and/or incomplete code/drivers (CONFIG_EXPERIMENTAL) [Y/n/?] - YES: though not required for IP MASQ, this option allows the kernel to create the MASQ modules and enable the option for port forwarding -- Non-MASQ options skipped -- * Enable loadable module support (CONFIG_MODULES) [Y/n/?] - YES: allows you to load kernel IP MASQ modules -- Non-MASQ options skipped -- * Networking support (CONFIG_NET) [Y/n/?] - YES: Enables the network subsystem -- Non-MASQ options skipped -- * Sysctl support (CONFIG_SYSCTL) [Y/n/?] - YES: Enables the ability to enable disable options such as forwarding, dynamic IPs, LooseUDP, etc. -- Non-MASQ options skipped -- * Packet socket (CONFIG_PACKET) [Y/m/n/?] - YES: Though this is OPTIONAL, this recommended feature will allow you to use TCPDUMP to debug any problems with IP MASQ * Kernel/User netlink socket (CONFIG_NETLINK) [Y/n/?] - YES: Though this is OPTIONAL, this feature will allow the logging of advanced firewall issues such as routing messages, etc * Routing messages (CONFIG_RTNETLINK) [Y/n/?] - NO: This option does not have anything to do with packet firewall logging -- Non-MASQ options skipped -- * Network firewalls (CONFIG_FIREWALL) [Y/n/?] - YES: Enables the kernel to be comfigured by the IPCHAINS firewall tool * Socket Filtering (CONFIG_FILTER) [Y/n/?] - OPTIONAL: Though this doesn't have anything do with IPMASQ, if you plan on implimenting a DHCP server on the internal network, you WILL need this option. * Unix domain sockets (CONFIG_UNIX) [Y/m/n/?] - YES: This enables the UNIX TCP/IP sockets mechanisms * TCP/IP networking (CONFIG_INET) [Y/n/?] - YES: Enables the TCP/IP protocol -- Non-MASQ options skipped -- * IP: advanced router (CONFIG_IP_ADVANCED_ROUTER) [Y/n/?] - YES: This will allow you to configure advanced MASQ options farther down * IP: policy routing (CONFIG_IP_MULTIPLE_TABLES) [N/y/?] - NO: Not needed by MASQ though users who need advanced features such as TCP/IP source address-based or TOS-enabled routing will need to enable this option. * IP: equal cost multipath (CONFIG_IP_ROUTE_MULTIPATH) [N/y/?] - NO: Not needed for normal MASQ functionality * IP: use TOS value as routing key (CONFIG_IP_ROUTE_TOS) [N/y/?] - NO: Not needed for normal MASQ functionality * IP: verbose route monitoring (CONFIG_IP_ROUTE_VERBOSE) [Y/n/?] - YES: This is useful if you use the routing code to drop IP spoofed packets (highly recommended) and you want to log them. * IP: large routing tables (CONFIG_IP_ROUTE_LARGE_TABLES) [N/y/?] - NO: Not needed for normal MASQ functionality * IP: kernel level autoconfiguration (CONFIG_IP_PNP) [N/y/?] ? - NO: Not needed for normal MASQ functionality * IP: firewalling (CONFIG_IP_FIREWALL) [Y/n/?] - YES: Enable the firewalling feature * IP: firewall packet netlink device (CONFIG_IP_FIREWALL_NETLINK) [Y/n/?] - OPTIONAL: Though this is OPTIONAL, this feature will allow IPCHAINS to copy some packets to UserSpace tools for additional checks * IP: transparent proxy support (CONFIG_IP_TRANSPARENT_PROXY) [N/y/?] - NO: Not needed for normal MASQ functionality * IP: masquerading (CONFIG_IP_MASQUERADE) [Y/n/?] - YES: Enable IP Masquerade to re-address specific internal to external TCP/IP packets * IP: ICMP masquerading (CONFIG_IP_MASQUERADE_ICMP) [Y/n/?] - YES: Enable support for masquerading ICMP ping packets (ICMP error codes will be MASQed regardless). This is an important feature for troubleshooting connections. * IP: masquerading special modules support (CONFIG_IP_MASQUERADE_MOD) [Y/n/?] - YES: Though OPTIONAL, this enables the OPTION to later enable the TCP/IP Port forwarding system to allow external computers to directly connect to specified internal MASQed machines. * IP: ipautofw masq support (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_IPAUTOFW) [N/y/m/?] - NO: IPautofw is a legacy method of port forwarding. It is mainly old code and has been found to have some issues. NOT recommended. * IP: ipportfw masq support (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_IPPORTFW) [Y/m/n/?] - YES: Enables IPPORTFW which allows external computers on the Internet to directly communicate to specified internal MASQed machines. This feature is typically used to access internal SMTP, TELNET, and WWW servers. FTP port forwarding will need an additional patch as described in the FAQ section of the MASQ HOWTO. Additional information on port forwarding is available in the Forwards section of this HOWTO. * IP: ip fwmark masq-forwarding support (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_MFW) [Y/m/n/?] - OPTIONAL: This is a new method of doing PORTFW. With this option, IPCHAINS can mark packets that should have additional work on. Using a UserSpace tool, much like IPMASQADM or IPPORFW, IPCHAINS would then automaticaly re-address the packets. Currently, this code is less tested than PORTFW but it looks promising. For now, the recommended method is to use IPMASQADM and IPPORTFW. If you have thoughts on MFW, please email me. * IP: optimize as router not host (CONFIG_IP_ROUTER) [Y/n/?] - YES: This optimizes the kernel for the network subsystem though it isn't known if it makes a siginificant performance difference. * IP: tunneling (CONFIG_NET_IPIP) [N/y/m/?] - NO: This OPTIONAL section is for IPIP tunnels through IP Masq. If you need tunneling/VPN functionality, it is recommended to use either GRE or IPSEC tunnels. * IP: GRE tunnels over IP (CONFIG_NET_IPGRE) [N/y/m/?] - NO: This OPTIONAL selection is to enable PPTP and GRE tunnels through the IP MASQ box -- Non-MASQ options skipped -- * IP: TCP syncookie support (not enabled per default) (CONFIG_SYN_COOKIES) [Y/n/?] - YES: HIGHLY recommended for basic TCP/IP network security -- Non-MASQ options skipped -- * IP: Allow large windows (not recommended if <16Mb of memory) * (CONFIG_SKB_LARGE) [Y/n/?] - YES: This is recommended to optimize Linux's TCP window -- Non-MASQ options skipped -- * Network device support (CONFIG_NETDEVICES) [Y/n/?] - YES: Enables the Linux Network device sublayer -- Non-MASQ options skipped -- * Dummy net driver support (CONFIG_DUMMY) [M/n/y/?] - YES: Though OPTIONAL, this option can help when debugging problems == Don't forget to compile in support for your network card !! == -- Non-MASQ options skipped -- == Don't forget to compile in support for PPP/SLIP if you use a modem or use a PPPoE DSL modem == -- Non-MASQ options skipped -- * /proc filesystem support (CONFIG_PROC_FS) [Y/n/?] - YES: Required to enable the Linux network forwarding system </verb> </tscreen> --> <tscreen> <verb> * 開発中や不完全なコード/ドライバも表示 (CONFIG_EXPERIMENTAL) [Y/n/?] - YES: IP MASQ 自体では必要ないけれども、このオプションで MASQ モジュールの作成とポートフォワーディングが実現されます。 -- マスカレードに無関係のオプションを飛ばします -- * ローダブル・モジュールを使用可能にします (CONFIG_MODULES) [Y/n/?] - YES: これでカーネルの IP MASQ のモジュールが使えるようになります。 -- マスカレードに無関係のオプションを飛ばします -- * ネットワークのサポート (CONFIG_NET) [Y/n/?] - YES: ネットワークサブシステムを有効にします。 -- マスカレードに無関係のオプションを飛ばします -- * Sysctl サポート (CONFIG_SYSCTL) [Y/n/?] - YES: フォワーディング、ダイナミック IP 、ルーズ UDP 等のオプション を有効/無効にします。 -- マスカレードに無関係のオプションを飛ばします -- * パケット・ソケット (CONFIG_PACKET) [Y/m/n/?] - YES: これは任意ですが、IP MASQ に纏わるあらゆる問題をデバッグ するために TCP DUMP を使えるようにする際に必要な機能です。 * カーネル／ユーザ ネットワーク・リンク・ソケット (CONFIG_NETLINK) [Y/n/?] - YES: これは任意ですが、経路情報等の高度なファイアウォールの 問題点の記録を取るのに役立ちます。 【訳注: この部分は、実際は「カーネル／ユーザ ネットワーク・リンク・ドライバ (Kernel/User network link driver) 」となっています。】 * ルーティング・メッセージ (CONFIG_RTNETLINK) [Y/n/?] - NO: このオプションはパケットファイアウォールの記録を取ることとは 無関係です。 -- マスカレードに無関係のオプションを飛ばします -- * ファイアウォール機能 (CONFIG_FIREWALL) [Y/n/?] - YES: カーネルに IPCHAINS ファイアウォールツールによる設定ができる ようにします。 * ソケットでの分別 (CONFIG_FILTER) [Y/n/?] - 任意: これは IPMASQ と無関係ですが、内部ネットワークに DHCP サーバ を実装するなら、このオプションが必要になります。 * Unix ドメイン・ソケット (CONFIG_UNIX) [Y/m/n/?] - YES: これで UNIX TCP/IP ソケット機構を有効にします。 * TCP/IP ネットワーキング (CONFIG_INET) [Y/n/?] - YES: TCP/IP プロトコルを有効にします。 -- マスカレードに無関係のオプションを飛ばします -- * IP: 高機能ルータ (CONFIG_IP_ADVANCED_ROUTER) [Y/n/?] - YES: これ以降の高機能 MASQ オプションの設定が有効になります。 * IP: ポリシールーティング (CONFIG_IP_MULTIPLE_TABLES) [N/y/?] - NO: MASQ では不要ですが、 TCP/IP 発信元アドレスを用いるか、 或は TOS (Type-Of-Service) 値を用いるルーティング等の高機能 を必要とする人はこのオプションが必要です。 * IP: 等価コスト多重パス (CONFIG_IP_ROUTE_MULTIPATH) [N/y/?] - NO: 通常の MASQ 機能には不要です。 * IP: 経路決定基準として TOS 値を使用する (CONFIG_IP_ROUTE_TOS) [N/y/?] - NO: 通常の MASQ 機能には不要です。 * IP: 冗長な経路監視 (CONFIG_IP_ROUTE_VERBOSE) [Y/n/?] - YES: IP アドレスを詐称したパケットを破棄し、ログ記録するルーティング コードを使う際には便利です (強くお薦めします) 。 * IP: 大きなルーティングテーブル (CONFIG_IP_ROUTE_LARGE_TABLES) [N/y/?] - NO: 通常の MASQ 機能には不要です。 * IP: カーネルレベルの自動構成 (CONFIG_IP_PNP) [N/y/?] ? - NO: 通常の MASQ 機能には不要です。 * IP: ファイアウォール (CONFIG_IP_FIREWALL) [Y/n/?] - YES: ファイアウォール機能を有効にします。 * IP: ファイアーウォールのパケット・ネットリンク・デバイス (CONFIG_IP_FIREWALL_NETLINK) [Y/n/?] - 任意: 任意ですが、この機能は IPCHAINS からコピーしたパケット をユーザ空間のプログラムに渡してチェックすることを実現します。 * IP: 透過プロキシのサポート (CONFIG_IP_TRANSPARENT_PROXY) [N/y/?] - NO: 通常の MASQ 機能には不要です。 【訳注: この部分は、実際は「等価プロキシ (IP: transparent proxying)」 となっています。】 * IP: マスカレーディング (CONFIG_IP_MASQUERADE) [Y/n/?] - YES: 内部ネットワークの TCP/IP パケットを外部ネットワークの ものに書き換える、 IP マスカレードを有効にします。 * IP: ICMP マスカレーディング (CONFIG_IP_MASQUERADE_ICMP) [Y/n/?] - YES: ICMP ping パケットのマスカレーディングを実現します (ICMP のエラーコードは、このオプションの設定に関係なくマスカレード されます)。 接続のトラブルシューティングに必須の機能です。 * IP: マスカレーディング用特殊モジュールのサポート (CONFIG_IP_MASQUERADE_MOD) [Y/n/?] - YES: でも任意です。 このオプションは、これ以降のオプションで外側のネットワーク上の コンピュータと MASQ された内部ネットワーク上のマシン同士を直接的 に接続する TCP/IP ポートフォワーディングを有効にするものです。 * IP: ipautofw マスカレードのサポート(EXPERIMENTAL) (CONFIG_IP_MASQUERADE_IPAUTOFW) [N/y/m/?] - NO: IPautofw は ポートフォワーディングの古い方法です。 殆どが古いコードで占められ、幾つかの問題点も見つかっております。 お薦め*しません*。 【訳注: 原文は ipautofw masq support となっていますが、実際は ipautofw masquerade support となっています。】 * IP: ipportfw マスカレード・サポート (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_IPPORTFW) [Y/m/n/?] - YES: 外側のネットワーク上のコンピュータと MASQ された内部ネットワーク 上のマシン同士を直接的に接続する IPPORTFW を有効にします。 大概、この機能は内部の SMTP, TELNET, 及び WWW サーバへのアクセス に用いられます。 FTP ポートフォワーディングはこの MASQ HOWTO の FAQ の章に詳述 されている追加のパッチが必要です。 ポートフォワーディングに関するより詳細な情報は、この HOWTO の フォワードの章にあります。 【訳注: 原文では EXPERIMENTAL ですが、実際はカーネル 2.2.0 以降、 EXPERIMENTAL が取れています。】 * IP: ip fwmark マスカレード・フォワーディング・サポート (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_MFW) [Y/m/n/?] - 任意: これは PORTFW の新しい方法です。 このオプションによって、 IPCHAINS は更なる働きが有効になり、 パケットに印を付けられるようになります。 IPMASQADM や IPPORFW 等のユーザ空間ツールを用いて、IPCHAINS は自動的にパケットのアドレスを書き換えます。 現状では、 PORTFW よりはテストされていませんが、信頼できるでしょう。 現在、 IPMASQADM 及び IPPORTFW の使用が推奨されています。 この MFW に考えがおありでしたら、メールをお願いします。 【訳注: 実際は IP: ipmarkfw masquerade support と、 forwarding が 取れています。】 * IP: ホストではなくルータとして最適化する (CONFIG_IP_ROUTER) [Y/n/?] - YES: これはカーネルをネットワークサブシステムの為に最適化 しますが、これによってパフォーマンスに重大な影響を及ぼすとは 認められません。 * IP: トンネリング (CONFIG_NET_IPIP) [N/y/m/?] - NO: この任意の選択は IP マスカレードを通じる IPIP トンネル の為にあります。 トンネリング/VPN 機能をお望みなら、 GRE 或は IPSEC トンネルの 使用をお薦めします。 * IP: IP 越しの GRE トンネル (CONFIG_NET_IPGRE) [N/y/m/?] - NO: この任意の選択は、 IP MASQ ボックスを通じる PPTPと GRE トンネルを実現させる為にあります。 -- マスカレードに無関係のオプションを飛ばします -- * IP: TCP syn クッキーのサポート (デフォルトでは無効) (CONFIG_SYN_COOKIES) [Y/n/?] - YES: 基本的な TCP/IP ネットワークセキュリティの為に強くお薦めします。 【訳注: 実際は SYN flood protection (SYN 攻撃からの防御) という名称になっています。】 -- マスカレードに無関係のオプションを飛ばします -- * IP: ウィンドウを大きくします (メモリが 16 MB 未満の場合は勧めません) (CONFIG_SKB_LARGE) [Y/n/?] - YES: Linux の TCP ウィンドウを最適化する為にお薦めします。 -- マスカレードに無関係のオプションを飛ばします -- * ネットワークデバイスのサポート (CONFIG_NETDEVICES) [Y/n/?] - YES: Linux ネットワークデバイス層を有効にします。 -- マスカレードに無関係のオプションを飛ばします -- * ネットワーク用ダミードライバのサポート (CONFIG_DUMMY) [M/n/y/?] - YES: 任意ですが、このオプションは問題のデバッグを助けます。 == ネットワークカードのサポートをコンパイルし忘れないでください!! == -- マスカレードに無関係のオプションを飛ばします -- == モデム或は PPPoE DSL モデムをお持ちの方は PPP/SLIP のサポートを コンパイルし忘れないでください。 == -- マスカレードに無関係のオプションを飛ばします -- * /proc ファイルシステムのサポート (CONFIG_PROC_FS) [Y/n/?] - YES: Linux ネットワークフォワーディングを有効にする為に必要です。 </verb> </tscreen> <!-- 上記<verb></verb>内にあったコメント (1) * カーネル／ユーザ ネットワーク・リンク・ソケット (CONFIG_NETLINK) [Y/n/?] - YES: これは任意ですが、経路情報等の高度なファイアウォールの 問題点の記録を取るのに役立ちます。 【訳注: この部分は、実際は「カーネル／ユーザ ネットワーク・リンク・ドライバ (Kernel/User network link driver) 」となっています。】 カーネルのいつのバージョンからこの名称に変わったのか、ご存知の方いらっしゃいませんか?(松田) 2.2.0 からこの名称を使っていますので、 2.0 系或は 2.3 系と混同 しているのではないかと推測します。(松田) (2) * IP: 冗長な経路監視 (CONFIG_IP_ROUTE_VERBOSE) [Y/n/?] - YES: IP アドレスを詐称したパケットを破棄し、ログ記録するルーティング コードを使う際には便利です (強くお薦めします) 。 「経路コード」と訳してもうまくないので、「ルーティングコード」と しちゃいましたが、どう思われますか? --> <!-- NOTE: These are just the components you need for IP Masquerade. You will need to select whatever other options needed for your specific setup. --> 注意 - これらは IP マスカレードの為だけに必要な要素です。 あなたのシステムに特有な、他の設定項目も選択する必要があります。 <!-- You will need to select whatever other options needed for your specific setup. あなたの特有なセットアップの為に必要とされる他のオプションなら何でも選択する必要があるでしょう。 …うまい訳文が思い付かないです…。 --> <!-- <itemize> <item>After compiling the kernel, you should compile and install the IP MASQ modules by doing: <tscreen> <verb> make modules; make modules_install </verb> </tscreen> <p> <item>Then you should add a few lines into your <tt>/etc/rc.d/rc.local</tt> file to load the IP Masquerade modules and enable IP MASQ automatically after each reboot: <p> <tscreen> <verb> . . . #rc.firewall script - Start IPMASQ and the firewall /etc/rc.d/rc.firewall . . . </verb> </tscreen> </itemize> --> <itemize> <item>カーネルをコンパイルした後、以下のように IP MASQ モジュールを コンパイルして、インストールしてください - <tscreen> <verb> make modules; make modules_install </verb> </tscreen> <p> <item>次に、リブート後 IP マスカレードモジュールを読み込ませ、 IP MASQ を自動的に有効にする為に、 <tt>/etc/rc.d/rc.local</tt> に 何行か追加します - <p> <tscreen> <verb> . . . #rc.firewall script - Start IPMASQ and the firewall /etc/rc.d/rc.firewall . . . </verb> </tscreen> </itemize> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect2> Linux 2.0.x Kernels --> <sect2> Linux 2.0.x カーネル <p> <!-- <bf>Please see the <ref id="2.0.x-Requirements"> section for any required software, patches, etc.</bf> --> <bf>必要とされるソフトウェアやパッチ等は <ref id="2.0.x-Requirements" name="2.0.x カーネルの必要条件"> の章をご覧ください。</bf> <p> <!-- <itemize> <item>First of all, you need the kernel source (preferably the latest kernel version 2.0.38 or above) <p> <item>If this is your first time compiling the kernel, don't be scared. In fact, it's rather easy and it's covered in several URLs found in the <ref id="2.0.x-Requirements"> section. <p> <item>Unpack the kernel source to <tt>/usr/src/</tt> with a command: <tt>tar xvzf linux-2.0.x.tar.gz -C /usr/src</tt>, where the "x" in 2.0.x is the current Linux 2.0 kernel. Once finished, make sure there is a directory or symbolic link to <tt>/usr/src/linux/ </tt> <p> <item>Apply any appropriate or optional patches to the kernel source code. As of 2.0.36, IP Masq does not require any specific patching to get everything working. Features like IPPORTFW, PPTP, and Xwindows forwarders are optional. Please refer to the <ref id="2.0.x-Requirements"> section for URLs and the <url url="http://ipmasq.cjb.net/" name="IP Masquerade Resources"> for up-to-date information and additional patch URLs. <p> <item>Here are the MINIMUM options that are needed to be compiled into the kernel. You will also need to confi gure the kernel to use your installed network interfaces as well. Refer to the <url url="http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html" name="Linux Kernel HOWTO"> and the README file in the kernel source directory for further instructions on compiling a kernel <p> Please note the <bf><em>YES or NO ANSWERS</em></bf> to the following options. Not all options will be available without the proper kernel patches described later in this HOWTO: </itemize> --> <itemize> <item>まず第一に、カーネルソースが必要です。 (望ましくは 2.0.38 以降の 最新のカーネルが良いです。) <p> <item>カーネルのコンパイルが初めてでも、恐がることはありません。 実の所かなり簡単ですし、 <ref id="2.0.x-Requirements" name="2.0.x カーネルの必要条件"> の章で示す幾つかの URL でも扱われています。 <p> <item>次のコマンドにてカーネルソースを <tt>/usr/src/</tt> ディレクトリへ 展開してください - <tt>tar xvzf linux-2.0.x.tar.gz -C /usr/src</tt> ここで、2.0.x の "x" は Linux 2.0 カーネルの現在のバージョンナンバー です。 完了しましたら、 <tt>/usr/src/linux/</tt> というディレクトリがあるか、 またはシンボリックリンクが張られていることを確認してください。 <p> <item>適当な、或は任意のパッチをカーネルソースコードに当ててください。 カーネル 2.0.36 の時点では、 IP Masq を稼働させる為の特殊なパッチ等 は不要です。 IPPORTFW, PPTP 及び Xwindow のフォワーディングの機能はオプションです。 <ref id="2.0.x-Requirements" name="2.0.x カーネルの必要条件"> の章にある URLと <htmlurl url="http://ipmasq.cjb.net/" name="IP マスカレードの情報源"> にある最新情報とパッチの URL を参照してください。 <p> <item>以下にカーネルをコンパイルする際に最低限必要なオプションを 記します。 インストールされたネットワークインターフェースも同様に設定する必要が あります。 カーネルをコンパイルする方法の詳細については、 <url url="http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html" name="Linux Kernel HOWTO"> と、カーネルソースディレクトリの README ファイルを参照してください。 【訳注: <url url="http://www.linux.or.jp/JF/JFdocs/Kernel-HOWTO.html" name="JFによる Kernel-HOWTO の日本語訳もあります。"> 】 <p> 以下の <bf><em>YES or NO の選択</em></bf> に注意してください。 全てのオプションはこの HOWTO にて後述する正しいカーネルパッチなくして、 有効とは限りません。 </itemize> <!-- <tscreen><verb> * Prompt for development and/or incomplete code/drivers (CONFIG_EXPERIMENTAL) [Y/n/?] - YES: this will allow you to later select the IP Masquerade feature code * Enable loadable module support (CONFIG_MODULES) [Y/n/?] - YES: allows you to load kernel IP MASQ modules * Networking support (CONFIG_NET) [Y/n/?] - YES: Enables the network subsystem * Network firewalls (CONFIG_FIREWALL) [Y/n/?] - YES: Enables the IPFWADM firewall tool * TCP/IP networking (CONFIG_INET) - YES: Enables the TCP/IP protocol * IP: forwarding/gatewaying (CONFIG_IP_FORWARD) - YES: Enables Linux network packet forwarding and routing - Controlled by IPFWADM * IP: syn cookies (CONFIG_SYN_COOKIES) [Y/n/?] - YES: HIGHLY recommended for basic network security * IP: firewalling (CONFIG_IP_FIREWALL) [Y/n/?] - YES: Enable the firewalling feature * IP: firewall packet logging (CONFIG_IP_FIREWALL_VERBOSE) [Y/n/?] - YES: (OPTIONAL but HIGHLY recommended): Allows for the reporting of firewall hits * IP: masquerading (CONFIG_IP_MASQUERADE [Y/n/?] - YES: Enable IP MASQ to re-address specific internal to external TCP/IP packets * IP: ipautofw masquerade support (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_IPAUTOFW) [Y/n/?] - NO: IPautofw is a legacy method of TCP/IP port forwarding. Though it works, IPPORTFW is a better way so IPAUTOFW is not recommended. * IP: ipportfw masq support (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_IPPORTFW) [Y/n/?] - YES: This option is ONLY AVAILABLE VIA A PATCH for the 2.0.x kernels. With this option, external computers on the Internet can directly communicate to specified internal MASQed machines. This feature is typically used to access internal SMTP, TELNET, and WWW servers. FTP port forwarding sometimes might require an additional patch as described in the FAQ section. Additional information on port forwarding is available in the Forwards section of this HOWTO. * IP: ICMP masquerading (CONFIG_IP_MASQUERADE_ICMP) [Y/n/?] - YES: Enable support for masquerading ICMP packets. Though thought of as optional, many programs will NOT function properly with out ICMP support. * IP: loose UDP port managing (EXPERIMENTAL) (CONFIG_IP_MASQ_LOOSE_UDP) [Y/n/?] - YES: This option is ONLY AVAILABLE VIA A PATCH for the 2.0.x kernels. With this option, internally masqueraded computers can play NAT-friendly games over the Internet. Explicit details are given in the FAQ section of this HOWTO. * IP: always defragment (CONFIG_IP_ALWAYS_DEFRAG) [Y/n/?] - YES: This feature optimizes IP MASQ connections - HIGHLY recommended * IP: optimize as router not host (CONFIG_IP_ROUTER) [Y/n/?] - YES: This optimizes the kernel for the network subsystem * IP: Drop source routed frames (CONFIG_IP_NOSR) [Y/n/?] - YES: HIGHLY recommended for basic network security * Dummy net driver support (CONFIG_DUMMY) [M/n/y/?] - YES: Though OPTIONAL, this option can help when debugging problems * /proc filesystem support (CONFIG_PROC_FS) [Y/n/?] - YES: Required to enable the Linux network forwarding system </verb> </tscreen> --> <tscreen><verb> * 開発中や不完全なコード/ドライバも表示 (CONFIG_EXPERIMENTAL) [Y/n/?] - YES: このオプションで IP マスカレード機能のコードが選択 できるようになります。 * ローダブル・モジュールを使用可能にします (CONFIG_MODULES) [Y/n/?] - YES: これでカーネルの IP MASQ のモジュールが使えるようになります。 * ネットワークのサポート (CONFIG_NET) [Y/n/?] - YES: ネットワークサブシステムを有効にします。 * ファイアウォール機能 (CONFIG_FIREWALL) [Y/n/?] - YES: IPFWADM ファイアウォールツールを有効にします。 * TCP/IP ネットワーキング (CONFIG_INET) - YES: TCP/IP プロトコルを有効にします。 * IP: フォワーディング/ゲートウェイング (CONFIG_IP_FORWARD) - YES: IPFWADM にて制御される Linux ネットワークのパケット転送と ルーティングを有効にします。 * IP: syn クッキー (CONFIG_SYN_COOKIES) [Y/n/?] - YES: 基本的なネットワークセキュリティの為に強くお薦めします。 * IP: ファイアウォーリング (CONFIG_IP_FIREWALL) [Y/n/?] - YES: ファイアウォール機能を有効にします。 * IP: ファイアウォールのパケット記録 (CONFIG_IP_FIREWALL_VERBOSE) [Y/n/?] - YES: (任意ですが強くお薦めします) - ファイアウォールに引っかかった パケットをログに記録します。 * IP: マスカレーディング (CONFIG_IP_MASQUERADE [Y/n/?] - YES: 内部ネットワークの TCP/IP パケットを外部ネットワークのものに 書き換える、 IP マスカレードを有効にします。 * IP: ipautofw マスカレードのサポート (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_IPAUTOFW) [Y/n/?] - NO: IPautofw は ポートフォワーディングの古い方法です。 動作はしますが、 IPPORTFW の方が良い方法ですので、 IPAUTOFW は お薦めしません。 * IP: ipportfw マスカレード・サポート (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_IPPORTFW) [Y/n/?] - YES: このオプションは 2.0.x カーネルのパッチでのみ有効です。 このオプションで、インターネット上の外側のコンピュータと MASQ された内部ネットワーク上のマシン同士が直接的に接続できるように なります。 大概、この機能は内部の SMTP, TELNET, 及び WWW サーバへのアクセスに 用いられます。 FTP ポートフォワーディングはこの FAQ の章に詳述されている追加の パッチが必要になるでしょう。 ポートフォワーディングに関するより詳細な情報は、この HOWTO の フォワードの章にあります。 * IP: ICMP マスカレーディング (CONFIG_IP_MASQUERADE_ICMP) [Y/n/?] - YES: ICMP ping パケットのマスカレーディングを実現します。 任意と思われますが、多くのプログラムが ICMP サポートなくして 完全には機能し得ないでしょう。 * IP: loose UDP ポートフォワーディング (EXPERIMENTAL) (CONFIG_IP_MASQ_LOOSE_UDP) [Y/n/?] - YES: このオプションは 2.0.x カーネルにパッチを適用することに よってのみ有効です。 このオプションで、インターネットを経由する、 NAT を用いるような ネットワーク対戦型ゲームが、マスカレードされた内部ネットワーク上の コンピュータで出来るようになります。 詳細についてはこの HOWTO の FAQ の章に掲載しています。 * IP: 常にデフラグメントする (CONFIG_IP_ALWAYS_DEFRAG) [Y/n/?] - YES: この機能は IP MASQ 接続を最適化します。- 強くお薦めします。 * IP: ホストとしてではなくルータとして最適化する (CONFIG_IP_ROUTER) [Y/n/?] - YES: これによってカーネルをネットワークサブシステムとして 最適化します。 * IP: 発信元アドレスで経路付けされたフレームを破棄する (CONFIG_IP_NOSR) [Y/n/?] - YES: 基本的なネットワークセキュリティの為に強くお薦めします。 * ネットワーク用ダミードライバのサポート (CONFIG_DUMMY) [M/n/y/?] - YES: 任意ですが、このオプションは問題をデバッグする際の 助けになります。 * /proc ファイルシステムのサポート (CONFIG_PROC_FS) [Y/n/?] - YES: Linux カーネルがネットワーク上でパケットを転送する 機能を有効にする為に必要です。 </verb> </tscreen> <!-- 上記<verb></verb>内にあったコメント (1) * IP: ホストとしてではなくルータとして最適化する (CONFIG_IP_ROUTER) [Y/n/?] - YES: これによってカーネルをネットワークサブシステムとして 最適化します。 些細なことですが、Configure.help 日本語版では (IP: ホストではなくルータとして最適化する) となってましたが、敢えて * IP: ホストとしてではなくルータとして最適化する (CONFIG_IP_ROUTER) [Y/n/?] と書き換えました。 (2) * IP: 発信元アドレスで経路付けされたフレームを破棄する (CONFIG_IP_NOSR) [Y/n/?] - YES: 基本的なネットワークセキュリティの為に強くお薦めします。 * IP: Drop source routed frames (CONFIG_IP_NOSR) [Y/n/?] これ、意味が全然判りません。 --> <!-- NOTE: These are just the components you need for IP Masquerade functionality. You will need to also select whatever other options you need for your specific network and hardware setup. --> 注意 - これらは IP マスカレードの為だけに必要な要素です。 あなたのネットワークやハードウェアに特有な他の設定項目も選択する 必要があります。 <!-- <itemize> <item>After compiling the kernel, you need to also compile and install the IP MASQ kernel modules by doing: <tscreen> <verb> make modules; make modules_install </verb> </tscreen> <item>Next, add a few lines into your <tt>/etc/rc.d/rc.local</tt> file to load the IP Masquerade script and thus enable IP MASQ automatically after each reboot: <tscreen> <verb> . . . #rc.firewall script - Start IPMASQ and the firewall /etc/rc.d/rc.firewall . . . </verb> </tscreen> </itemize> --> <itemize> <item>カーネルをコンパイルした後、以下のように IP MASQ モジュールを コンパイルして、インストールしてください - <tscreen> <verb> make modules; make modules_install </verb> </tscreen> <!-- <item>Next, add a few lines into your <tt>/etc/rc.d/rc.local</tt> file to load the IP Masquerade script and thus enable IP MASQ automatically after each reboot: --> <item>次に、 IP マスカレードスクリプトを読み込ませ、リブートの度毎に IP MASQ を自動的に有効にする為に、 <tt>/etc/rc.d/rc.local</tt> に何行か 追加します - <tscreen> <verb> . . . #rc.firewall script - Start IPMASQ and the firewall /etc/rc.d/rc.firewall . . . </verb> </tscreen> </itemize> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect2> Linux 2.3.x / 2.4.x Kernels --> <sect2> Linux 2.3.x / 2.4.x カーネル <p> <!-- <bf>The 2.3.x and 2.4.x kernels are NOT covered in this HOWTO yet. Please see the <ref id="2.3.x/2.4.x-Requirements"> section for URLs, etc until it is covered by this or a NEW howto.</bf> --> <bf>この HOWTO では 2.3.x と 2.4.x カーネルは未だ取り扱っていません。 <ref id="2.3.x/2.4.x-Requirements" name="2.3.x/2.4.x カーネルの必要条件"> の章に記される URL を参照するか、それらを取り扱っている新しい HOWTO を参照してください。</bf> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Assigning Private Network IP Addresses to the Internal LAN --> <sect1> プライベートネットワーク IP アドレスを内部 LAN に割り当てる <p> <!-- Since all <bf>INTERNAL MASQed</bf> machines should NOT have official Internet assigned addressees, there must be specific and accepted way to allocate address to those machines without conflicting with anyone else's Internet addresses. --> 全ての <bf>内部ネットワーク上で MASQ された</bf> マシンは、 インターネットで公式に割り当てられたアドレスを持つべき*ではありません*。 ですので、インターネット上のアドレスとぶつからずに、内部ネットワークの マシンにアドレスを確保する為の、特殊で適切な方法が存在しなければ なりません。 <!-- there must be specific and accepted way to allocate address to those machines without conflicting with anyone else's Internet addresses. 「インターネットのアドレスのどれともぶつかることなく、 それらのマシンがアドレスを確保する明確で適切な方法が存在しなければならない。」 うまい訳が出て来ません。 --> <p> <!-- >From the original IP Masquerade FAQ: --> >オリジナルの IP マスカレード FAQ より - <p> <!-- <htmlurl url="http://www.cis.ohio-state.edu/htbin/rfc/INDEX.rfc.html" name="RFC 1918"> is the official document on which IP addresses are to be used on a non-connected or "private" network. There are 3 blocks of numbers set aside specifically for this purpose --> <htmlurl url="http://www.cis.ohio-state.edu/htbin/rfc/INDEX.rfc.html" name="RFC 1918"> はインターネットへ直接接続されないか、または "プライベート" ネットワークに用いられる IP アドレスに関する公式文書です。 この用途の為に特別に割り当てられた 3つの IP アドレスのブロック があります。 <!-- <tscreen> <verb> Section 3: Private Address Space The Internet Assigned Numbers Authority (IANA) has reserved the following three blocks of the IP address space for private networks: 10.0.0.0 - 10.255.255.255 172.16.0.0 - 172.31.255.255 192.168.0.0 - 192.168.255.255 We will refer to the first block as "24-bit block", the second as "20-bit block", and to the third as "16-bit" block". Note that the first block is nothing but a single class A network number, while the second block is a set of 16 contiguous class B network numbers, and third block is a set of 255 contiguous class C network numbers. </verb> </tscreen> --> <tscreen> <verb> Section 3 - プライベートアドレス空間 Internet Assigned Numbers Authority (IANA) は、IP アドレス空間のうち 以下の3つのブロックをプライベートネットワーク用に予約しています。 10.0.0.0 - 10.255.255.255 172.16.0.0 - 172.31.255.255 192.168.0.0 - 192.168.255.255 最初のブロックは「24ビットブロック」、2番目のブロックは「20ビット ブロック」、3番目のブロックは「16ビット」ブロックと呼ばれます。 最初のブロックは単一のクラス A ネットワーク番号以外のなにものでもなく、 2番目のブロックは連続する16個のクラス B ネットワーク番号の集合であり、 3番目のブロックは連続する255個のクラス C ネットワーク番号の集合であることに 注意してください。 </verb> </tscreen> <!-- IP-Masq mini HOWTO から全文引用しました。 --> <!-- For the record, my preference is to use the 192.168.0.0 network with a 255.255.255.0 Class-C subnet mask and this HOWTO reflects this. But, any of the above private networks are valid but just be SURE to use the correct subnet-mask. --> 参考の為に、私は 192.168.0.0 のネットワークアドレスと 255.255.255.0 の Class-C サブネットマスクを選択しており、この HOWTO においてもこれを 反映しています。 でも、上記のプライベートネットワークは全て有効ですけれども、必ず正しい サブネットマスクを用いてください。 <!-- So, if you're using a Class-C network, you should number your TCP/IP enabled machines as 192.168.0.1, 192.168.0.2, 192.168.0.3, ..., 192.168.0.x --> ですので、もし Class-C のネットワークを使うなら、あなたのネットワーク 上の TCP/IP プロトコルが機能しているマシンに割り当てられる番号は、 192.168.0.1, 192.168.0.2, 192.168.0.3, ..., 192.168.0.x となります。 <p> <!-- 192.168.0.1 is usually the internal gateway or Linux MASQ machine to get out to the external network. Please note that 192.168.0.0 and 192.168.0.255 are the Network and Broadcast address respectively (these addresses are RESERVED). Avoid using these addresses on your machines or your network will not work properly. --> 192.168.0.1 は多くの場合、外部ネットワークへ出て行く為の 内部ゲートウェイ或は Linux MASQ マシンとなります。 192.168.0.0 と 192.168.0.255 はそれぞれネットワーク及び ブロードキャストアドレスであることに注意してください (これらのアドレスは*予約済み*です) 。 これらのアドレスをマシンに割り当てないでください、さもなくば あなたのマシンやネットワークは正常に動作しません。 <label id="firewall-examples"> <!-- <sect1> Configuring IP Forwarding Policies --> <sect1> IP フォワーディングポリシーを設定する <p> <!-- At this point, you should have your kernel and other required packages installed. All network IP addresses, gateway, and DNS addresses should be configured on your Linux MASQ server as well. If you don't know how to configure your Linux network cards, please consult the HOWTOs listed in either the <ref id="2.0.x-Requirements"> or <ref id="2.2.x-Requirements"> sections. --> この点に関しては、カーネルとその他必要なパッケージがインストール されているべきです。 全てのネットワークの IP アドレス、ゲートウェイ、そして DNS アドレスは Linux MASQ サーバ上でも同様に設定されているべきです。 もし Linux ネットワークカードの設定方法を知らないなら、この HOWTO の <ref id="2.0.x-Requirements" name="2.0.x カーネルの必要条件"> 或は <ref id="2.2.x-Requirements" name="2.2.x カーネルの必要条件"> の章を参照してください。 <p> <!-- Now, the only thing left to do is to configure the IP firewalling tools to both FORWARD and MASQUERADE the appropriate packets to the appropriate machine: --> さて、最後にやり残したことは、指定されたマシンに適切にパケットを 転送 (FORWARD) 及び マスカレード (MASQUERADE) する為の、 IP ファイアウォーリングツールを設定することです。 <p> <quote> <!-- ** This can be accomplished in many different ways. The following suggestions and examples worked for me, but you may have different ideas or needs. --> ** この実現には色々と違う方法が沢山あり得ます。 これから示す提案と実例は私の所で動作していますが、あなたなりの違う アイディアや必要性があることでしょう。 <!-- This can be accomplished in many different ways. これは多くの異なる方法にて完遂されることができます。 --> </quote> <p> <quote> <!-- ** This section ONLY provides you with the bare minimum firewall ruleset to get the IP Masquerade feature working. Once IP MASQ has been successfully tested (as described later in this HOWTO), please refer to the <ref id="Strong-IPFWADM-Rulesets"> and <ref id="Strong-IPCHAINS-Rulesets"> sections for more secure firewall rulesets. In addition, check out the IPFWADM (2.0.x) and/or IPCHAINS(2.2.x) man pages for more details. --> この章は IP マスカレード機能が動作し得る為の、素の最低限の ファイアウォールのルールセットを紹介する*だけ*です。 一旦 (この HOWTO にて後述する) IP MASQ のテストが成功したら、 より安全なファイアウォールのルールセットの為に <ref id="Strong-IPFWADM-Rulesets" name="強い IPFWADM のルールセット"> と <ref id="Strong-IPCHAINS-Rulesets" name="強い IPCHAINS のルールセット"> の章を参照してください。 更に、詳細については IPFWADM (2.0.x) 及び/又は IPCHAINS (2.2.x) のオンラインマニュアルを参照してください。 </quote> <label id="rc.firewall-2.2.x"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect2> Linux 2.2.x Kernels --> <sect2> Linux 2.2.x カーネル <p> <!-- Please note that <bf>IPFWADM is no longer the firewall tool </bf> for manipulating IP Masquerading rules for both the 2.1.x and 2.2.x kernels. These new kernels now use the IPCHAINS tool. For a more detailed reason for this change, please see the <ref id="FAQ"> section. --> 2.1.x と 2.2.x カーネルの両方にて IP マスカレーディングのルールを 操作する為に、 <bf>IPFWADM はもはやファイアウォールツールとしては 使えない</bf> ことに注意してください。 今、これら新しいカーネルでは IPCHAINS ツールを使います。 この変更に関する詳細については、 <ref id="FAQ" name="よくある質問 (FAQ)"> の章を参照してください。 <!-- Create the file /etc/rc.d/rc.firewall with the following initial SIMPLE ruleset: --> 初歩的で単純なルールセットにて、 以下に記すように /etc/rc.d/rc.firewall を作成します - <!-- <tscreen> <verb> #!/bin/sh # # rc.firewall - Initial SIMPLE IP Masquerade test for 2.1.x and 2.2.x kernels # using IPCHAINS # # Load all required IP MASQ modules # # NOTE: Only load the IP MASQ modules you need. All current IP MASQ modules # are shown below but are commented out from loading. --> <tscreen><verb> #!/bin/sh # # rc.firewall - IPCHAINS を用いた、 2.1.x 及び 2.2.x カーネルの為の、 # 初歩的で単純な IP マスカレードのテスト # # # 必要な IP MASQ モジュールを全て読み込みます。 # # 注意 - 必要とする IP MASQ モジュールだけをロードしてください。 # 現在の IP MASQ モジュールの全てが以下に記されていますが、 # コメントアウトすればロードを抑止できます。 </verb></tscreen> <!-- load を「読み込み」と訳すべきか、単に「ロード」と書くべきかで 悩みました。 どちらが良いでしょうか? --> <!-- --> <!-- # Needed to initially load modules # /sbin/depmod -a # Supports the proper masquerading of FTP file transfers using the PORT method # /sbin/modprobe ip_masq_ftp # Supports the masquerading of RealAudio over UDP. Without this module, # RealAudio WILL function but in TCP mode. This can cause a reduction # in sound quality # #/sbin/modprobe ip_masq_raudio --> <tscreen><verb> # モジュールのロードの初期段階に必要です。 # /sbin/depmod -a # PORT メソッドを用いた FTP ファイル転送の適切なマスカレーディングを # サポートします。 # 【訳注: PORT メソッドはパッシブモードでない、通常の FTP 接続を指します。 # 接続後、データポートを使用する際に、 FTP サーバ側からクライアント側に # 対して TCP 接続を確立しようとします。 # このモジュールは FTP クライアントをパッシブモードで使用する際には不要 # です。】 # /sbin/modprobe ip_masq_ftp # UDP 上で RealAudio のマスカレーディングをサポートします。 # このモジュールがないと、 RealAudio は機能しますが、 TCP モードで動作 # し、その結果として音質の劣化をひき起こします。 # #/sbin/modprobe ip_masq_raudio </verb></tscreen> <!-- --> <!-- # Supports the masquerading of IRC DCC file transfers # #/sbin/modprobe ip_masq_irc --> <tscreen><verb> # IRC における DCC ファイル転送のマスカレーディングをサポートします。 # #/sbin/modprobe ip_masq_irc </verb></tscreen> <tscreen> 【訳注: DCC (Direct Client Connection) とは、client 同士が IRC server を 介さずに直接 connection を張ってファイルを送受したり、会話をしたりする しくみを指します。 DCC の詳細については <htmlurl url="http://www.linux.or.jp/JF/JFdocs/irchat-micro-howto.html" name="irchat-micro-howto"> や、 <htmlurl url="ftp://ftp.kyoto.wide.ad.jp/IRC/irchat/irchat-2.4jp24k.tar.gz" name="irchat-jp パッケージ"> に添付されている FAQ-about-jp24.txt 等を参照してください。】 </tscreen> <!-- --> <!-- # Supports the masquerading of Quake and QuakeWorld by default. This modules is # for for multiple users behind the Linux MASQ server. If you are going to # play Quake I, II, and III, use the second example. # # NOTE: If you get ERRORs loading the QUAKE module, you are running an old # ----- kernel that has bugs in it. Please upgrade to the newest kernel. # #Quake I / QuakeWorld (ports 26000 and 27000) #/sbin/modprobe ip_masq_quake # #Quake I/II/III / QuakeWorld (ports 26000, 27000, 27910, 27960) #/sbin/modprobe ip_masq_quake 26000,27000,27910,27960 # Supports the masquerading of the CuSeeme video conferencing software # #/sbin/modprobe ip_masq_cuseeme #Supports the masquerading of the VDO-live video conferencing software # #/sbin/modprobe ip_masq_vdolive --> <tscreen><verb> # デフォルトで Quake 及び QuakeWorld のマスカレーディングをサポートします。 # このモジュールは Linux MASQ サーバの後ろ側にいる複数のユーザの為にあり # ます。 # Quake I, II, 及び III をプレイするつもりなら、 2番目の例を用いてください。 # # 注意 - もし QUAKE モジュールのロードに失敗して ERROR が表示されたら、 # ----- それはバグが含まれた古いカーネルです。最新のカーネルに更新して # ください。 # #Quake I / QuakeWorld (26000 及び 27000 番ポート) #/sbin/modprobe ip_masq_quake # #Quake I/II/III / QuakeWorld (26000, 27000, 27910, 27960 番ポート) #/sbin/modprobe ip_masq_quake 26000,27000,27910,27960 # CuSeeme ビデオ会議ソフトウェアのマスカレーディングをサポートします。 # #/sbin/modprobe ip_masq_cuseeme # VDO-live ビデオ会議ソフトウェアのマスカレーディングをサポートします。 # #/sbin/modprobe ip_masq_vdolive </verb></tscreen> <!-- --> <!-- #CRITICAL: Enable IP forwarding since it is disabled by default since # # Redhat Users: you may try changing the options in # /etc/sysconfig/network from: # # FORWARD_IPV4=false # to # FORWARD_IPV4=true # echo "1" > /proc/sys/net/ipv4/ip_forward #CRITICAL: Enable automatic IP defragmenting since it is disabled by default # in 2.2.x kernels. This used to be a compile-time option but the # behavior was changed in 2.2.12 # echo "1" > /proc/sys/net/ipv4/ip_always_defrag --> <tscreen><verb> #重要 - デフォルトで無効になっている IP フォワーディングを有効にします。 # # Redhat ユーザへ - /etc/sysconfig/network を以下のように # 書き換えて、このオプションを変更できる # 筈ですので、試してみてください。 # # FORWARD_IPV4=false # ↓ # FORWARD_IPV4=true # echo "1" > /proc/sys/net/ipv4/ip_forward #重要 - 2.2.x カーネルのデフォルトで無効になっている IP デフラグメント # (最適化)を有効にします。 # これはコンパイル時のオプションで有効でしたが、 2.2.12 の時に # その動作が変更されてしまいました。 # echo "1" > /proc/sys/net/ipv4/ip_always_defrag </verb></tscreen> <!-- ここでの "CRITICAL" は「致命的」で良いんでしょうか? --> <!-- # Dynamic IP users: # # If you get your IP address dynamically from SLIP, PPP, or DHCP, enable this # following option. This enables dynamic-ip address hacking in IP MASQ, # making the life with Diald and similar programs much easier. # #echo "1" > /proc/sys/net/ipv4/ip_dynaddr --> <tscreen><verb> # 動的 IP ユーザへ - # # もし SLIP, PPP, 或は DHCP で動的に IP アドレスを得ているなら、ここに # 記す以下のオプションを有効にしてください。 # これによって IP MASQ において動的 IP アドレスのハッキングを実現し、 # 容易に Diald や同様のプログラムの稼働時間を伸ばします。 # #echo "1" > /proc/sys/net/ipv4/ip_dynaddr 【訳注: このオプションを有効にすると、 ppp 等の再接続時、インターフェースの IP アドレスが変わっても、以前のマスカレードテーブルを破棄せず、 IP アドレス を書き換えて再利用します。】 </verb></tscreen> <!-- この ip_dynaddr の挙動に関しては非常に疑問を持っていますので、 Linux-users ML にて質問を投げました。([linux-users:80040]) 今の所どなたからもフォローがないです。(泣) --> <!-- # Enable the LooseUDP patch which some Internet-based games require # # If you are trying to get an Internet game to work through your IP MASQ box, # and you have set it up to the best of your ability without it working, try # enabling this option (delete the "#" character). This option is disabled # by default due to possible internal machine UDP port scanning # vunerabilities. # #echo "1" > /proc/sys/net/ipv4/ip_masq_udp_dloose --> <tscreen><verb> # 幾つかのインターネット対応ゲームが要求する、ルーズ UDP パッチを # 有効にします。 # # IP マスカレードボックス越しにインターネット対応ゲームをやりたくて、 # そのゲームを立ち上げて再設定することなく楽しみたいなら、このオプションを # 有効にしてみてください ("#" によるコメントアウトを削除します) 。 # 内部マシンが UDP ポートスキャンで攻撃されやすくなる可能性があるので、 # このオプションはデフォルトでは無効になっています。 # #echo "1" > /proc/sys/net/ipv4/ip_masq_udp_dloose </verb></tscreen> <!-- you have set it up to the best of your ability without it working, ^^ ^^ この 2つの it って何を指しているんでしょう? 「それが動作することなくあなたの可能性の最善をそれに設定させるなら」 --> <!-- # MASQ timeouts # # 2 hrs timeout for TCP session timeouts # 10 sec timeout for traffic after the TCP/IP "FIN" packet is received # 160 sec timeout for UDP traffic (Important for MASQ'ed ICQ users) # /sbin/ipchains -M -S 7200 10 160 # DHCP: For people who receive their external IP address from either DHCP or # BOOTP such as ADSL or Cablemodem users, it is necessary to use the # following before the deny command. The "bootp_client_net_if_name" # should be replaced the name of the link that the DHCP/BOOTP server # will put an address on to? This will be something like "eth0", # "eth1", etc. # # This example is currently commented out. # # #/sbin/ipchains -A input -j ACCEPT -i bootp_clients_net_if_name -s 0/0 67 -d 0/0 68 -p udp # Enable simple IP forwarding and Masquerading # # NOTE: The following is an example for an internal LAN address in the # 192.168.0.x network with a 255.255.255.0 or a "24" bit subnet mask # connecting to the Internet on interface eth0. # # ** Please change this network number, subnet mask, and your Internet # ** connection interface name to match your internal LAN setup # /sbin/ipchains -P forward DENY /sbin/ipchains -A forward -i eth0 -s 192.168.0.0/24 -j MASQ --> <tscreen><verb> # MASQ タイムアウト値 # # TCP セッションにおいて 2 時間のタイムアウト値を、 # TCP/IP "FIN" パケットを受信後のトラフィックにおいて 10 秒のタイムアウト # 値を、 # UDP トラフィックにおいて 160 秒のタイムアウト値(MASQ された ICQ ユーザ # の為に重要です) を設定します。 # /sbin/ipchains -M -S 7200 10 160 # DHCP - ADSL や ケーブルモデムのユーザのような、DHCP 或は BOOTP の # いずれかから外部 IP アドレスを取得する人は、この後に記述される # ipchains の deny コマンドの前にこの行を必要とします。 # "bootp_client_net_if_name" には DHCP/BOOTP サーバがアドレスを # 割り当てるインターフェース名に書き換えてください。 # 恐らく "eth0", "eth1" 等になることでしょう。 # # この例は今の所コメントアウトしています。 # #/sbin/ipchains -A input -j ACCEPT -i bootp_clients_net_if_name -s 0/0 67 -d 0/0 68 -p udp # 単純な IP フォワーディング及びマスカレーディングを有効にします。 # # 注意 - 以下の例は 192.168.0.x の内部 LAN アドレスで 255.255.255.0 又は # "24" ビットのサブネットマスクよりなるネットワークが、 eth0 # インターフェースを通じてインターネットへ接続される場合を記して # います。 # # ** あなたの内部 LAN の設定に合うように、ネットワーク番号、 # ** サブネットマスク及びインターネット接続のインターフェース名 # ** を変更してください。 # /sbin/ipchains -P forward DENY /sbin/ipchains -A forward -i eth0 -s 192.168.0.0/24 -j MASQ </verb></tscreen> <!-- </verb></tscreen> --> <!-- Once you are finished with editing the /etc/rc.d/rc.firewall ruleset, make it executable by typing in <tt>chmod 700 /etc/rc.d/rc.firewall</tt> --> 一旦 /etc/rc.d/rc.firewall のルールセットを編集し終えたら、実行可能に するように <tt>chmod 700 /etc/rc.d/rc.firewall</tt> を入力し、実行して ください。 <p> <!-- Now that the firewall ruleset is ready to go, you need to let it run after every reboot. You could either do this by running it by hand everytime (a pain) or add it to the boot scripts. We have covered two methods below: --> さて、ファイアウォールのルールセットの準備が整いました。 これをリブート後に実行させる必要があります。 実行には、毎回手で行う方法 (苦痛です) か、ブートスクリプトに追加する方法 があります。 以下に 2つの方法を記しておきました - <p> <!-- <itemize>Redhat and Redhat-derived distros: <p> <item>There are two ways to load things in Redhat: /etc/rc.d/rc.local or a init script in /etc/rc.d/init.d/. The first method is the easiest. All you have to do is add the line: <p> <itemize> echo "Loading the rc.firewall ruleset.." /etc/rc.d/rc.firewall </itemize> <p> to the end of the /etc/rc.d/rc.local file and thats it. The problem with this approach is that if you are running a STRONG firewall ruleset, the firewall isn't executed until the last stages of booting. The preferred approach is to have the firewall loaded just after the networking subsystem is loaded. For now, the HOWTO only covers how to do the /etc/rc.d/rc.local way. If you want the stronger system, I recommend you check out Section 10 of TrinityOS found in the links section at the bottom of this HOWTO. </itemize> --> <itemize>Redhat 及び Redhat から派生したディストリビューション - <p> <item>起動スクリプトのロードに関し、 Redhat には 2つの方法があります - /etc/rc.d/rc.local 或は /etc/rc.d/init.d/ の中にある init スクリプトです。 前者の方法が最も簡単です。やるべきことは以下の行を /etc/rc.d/rc.local ファイルの最後に追加することです - <p> <itemize> echo "Loading the rc.firewall ruleset.." /etc/rc.d/rc.firewall </itemize> <p> この手法の問題点は、強固なファイアウォールのルールセットを動作させようと する際に、ファイアウォールはブート終了に至るまで実行されない、という点に あります。 好ましい手法としては、ネットワークサブシステムの設定がロードされた直後に、 ファイアウォールの設定がロードされるようにすることです。 今の所、この HOWTO は /etc/rc.d/rc.local の設定のみを扱っています。 より強固なシステムをお望みなら、 この HOWTO の最後の章にリンクがある TrinityOS の10章を参照することをお薦め します。 </itemize> <p> <!-- <itemize>Slackware: <p> <item>There are two ways to load things in Slackware: /etc/rc.d/rc.local or editing the /etc/rc.d/rc.inet2 file. The first method is the easiest. All you have to do is add the line: <p> <itemize> echo "Loading the rc.firewall ruleset.."<p> /etc/rc.d/rc.firewall </itemize> <p> to the end of the /etc/rc.d/rc.local file and thats it. The problem with this approach is that if you are running a STRONG firewall ruleset, the firewall isn' t executed until the last stages of booting. The preferred approach is to have the firewall loaded just after the networking subsystem is loaded. For now, the HOWTO only covers how to do the /etc/rc.d/rc.local way. If you want the strong er system, I recommend you check out Section 10 of TrinityOS found in the links section at the bottom of this HOWTO. </itemize> --> <itemize>Slackware - <p> <item>起動スクリプトのロードに関し、 Slackware には 2つの方法があります - /etc/rc.d/rc.local 或は /etc/rc.d/rc.inet2 ファイルを編集することです。 前者の方法が最も簡単です。やるべきことは以下の行を /etc/rc.d/rc.local ファイルの最後に追加することです - <p> <itemize> echo "Loading the rc.firewall ruleset.."<p> /etc/rc.d/rc.firewall </itemize> <p> この手法の問題点は、強固なファイアウォールのルールセットを動作させようと する際に、ファイアウォールはブート終了に至るまで実行されない、という点に あります。 好ましい手法としては、ネットワークサブシステムの設定がロードされた直後に、 ファイアウォールの設定がロードされるようにすることです。 今の所、この HOWTO は /etc/rc.d/rc.local の設定のみを扱っています。 より強固なシステムをお望みなら、この HOWTO の最後の章にリンクがある TrinityOS の10章を参照することをお薦めします。 </itemize> <p> <!-- <bf>Notes on how users might want to change the above firewall ruleset:</bf> --> <bf>上述のファイアウォールのルールセットを変更したいユーザへの注意 - </bf> <p> <!-- You could have also enabled IP Masquerading on a PER MACHINE basis instead of the above method enabling an ENTIRE TCP/IP network. For example, say if I wanted only the 192.168.0.2 and 192.168.0.8 hosts to have access to the Internet and NOT any of the other internal machines. I would change the in the "Enable simple IP forwarding and Masquerading" section (shown above) of the /etc/rc.d/rc.firewall ruleset. --> 完全な TCP/IP ネットワークを実現する上述の方法の代わりに、*単体のマシン だけ*の IP マスカレーディングを実現したいと思う方もいることでしょう。 例えば、私は 192.168.0.2 と 192.168.0.8 のホストだけをインターネットへ 接続させたいとします。この時内部ネットワーク上に他のマシンは存在しません。 私は (上述の) "単純な IP フォワーディング及びマスカレーディングを実現する" の章の、 /etc/rc.d/rc.firewall のルールセットを、以下のように書き換えます。 <!-- <tscreen> <verb> #!/bin/sh # # Enable simple IP forwarding and Masquerading # # NOTE: The following is an example to only allow IP Masquerading for the # 192.168.0.2 and 192.168.0.8 machines with a 255.255.255.0 or a # "24" bit subnet mask connecting to the Internet on interface eth0. # # ** Please change this network number, subnet mask, and your Internet # ** connection interface name to match your internal LAN setup # /sbin/ipchains -P forward DENY /sbin/ipchains -A forward -i eth0 -s 192.168.0.2/32 -j MASQ /sbin/ipchains -A forward -i eth0 -s 192.168.0.8/32 -j MASQ </verb> </tscreen> --> <tscreen> <verb> #!/bin/sh # # 単純な IP フォワーディング及びマスカレーディングを有効にします。 # # 注意 - 以下の例は 192.168.0.x の内部 LAN アドレスで 255.255.255.0 又は # "24" ビットのサブネットマスクよりなるネットワークが、 eth0 # インターフェースを通じてインターネットへ接続される場合を記して # います。 # # ** あなたの内部 LAN の設定に合うように、ネットワーク番号、 # ** サブネットマスク及びインターネット接続のインターフェース名 # ** を変更してください。 # /sbin/ipchains -P forward DENY /sbin/ipchains -A forward -i eth0 -s 192.168.0.2/32 -j MASQ /sbin/ipchains -A forward -i eth0 -s 192.168.0.8/32 -j MASQ </verb> </tscreen> <p> <!-- <bf>Common mistakes:</bf> --> <bf>よくある間違い - </bf> <p> <!-- What appears to be a common mistake with new IP Masq users is to make the first command: --> 初期段階の IP Masq ユーザが犯しがちなよくある間違いとして、 以下のようなコマンドがあります - /sbin/ipchains -P forward masquerade <!-- Do <bf>NOT</bf> make your default policy be MASQUERADING. Otherwise someone who can manipulate their routing tables will be able to tunnel straight back through your gateway, using it to masquerade their OWN identity! --> 決して、デフォルトポリシーをマスカレーディングにしては<bf>いけません</bf>。 さもなくば、経路テーブルを操作できる誰かがあなたのゲートウェイマシンに 穴を開け、自身の身元をマスカレードしてしまうかも知れないからです! <p> <!-- Again, you can add these lines to the <tt>/etc/rc.d/rc.firewall</tt> file, one of the other rc files you prefer, or do it manually every time you need IP Masquerade. --> 繰り返します、これらの行は <tt>/etc/rc.d/rc.firewall</tt> ファイルか、 あなたが選択する他の rc ファイルのうちの一つに追加できるか、 IP マスカレードを必要とする度毎に手作業で実行できます。 <p> <!-- Please see the <ref id="Strong-IPFWADM-Rulesets"> and <ref id="Strong-IPCHAINS-Rulesets"> sections for a detailed guide on IPCHAINS and a strong IPCHAINS ruleset example. For additional details on IPCHAINS usage, please refer to <htmlurl url="http://netfilter.filewatcher.org/ipchains/" name="http://netfilter.filewatcher.org/ipchains/"> for the primary IPCHAINS site or the <htmlurl url="http://www.linuxdoc.org/HOWTO/IPCHAINS-HOWTO.html" name="Linux IP CHAINS HOWTO Backup"> site --> IPCHAINS と強固な IPCHAINS のルールセットの例の詳細な手引に関しては、 <ref id="Strong-IPFWADM-Rulesets" name="強い IPFWADM のルールセット"> と <ref id="Strong-IPCHAINS-Rulesets" name="強い IPCHAINS のルールセット"> の章を参照してください。 更に詳細な IPCHAINS の使い方に関しては、プライマリ IPCHAINS サイトである <htmlurl url="http://netfilter.filewatcher.org/ipchains/" name="http://netfilter.filewatcher.org/ipchains/"> か、 <htmlurl url="http://www.linuxdoc.org/HOWTO/IPCHAINS-HOWTO.html" name="Linux IP CHAINS HOWTO Backup"> を参照してください。 <p> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <label id="rc.firewall-2.0.x"> <!-- <sect2> Linux 2.0.x Kernels --> <sect2> Linux 2.0.x カーネル <p> <!-- Create the file /etc/rc.d/rc.firewall with the following initial SIMPLE ruleset: --> 初歩的で単純なルールセットにて、 以下に記すように /etc/rc.d/rc.firewall を作成します - <!-- <tscreen> <verb> # rc.firewall - Initial SIMPLE IP Masquerade setup for 2.0.x kernels using # IPFWADM # # Load all required IP MASQ modules # # NOTE: Only load the IP MASQ modules you need. All current available IP # MASQ modules are shown below but are commented out from loading. # Needed to initially load modules # /sbin/depmod -a # Supports the proper masquerading of FTP file transfers using the PORT method # /sbin/modprobe ip_masq_ftp # Supports the masquerading of RealAudio over UDP. Without this module, # RealAudio WILL function but in TCP mode. This can cause a reduction # in sound quality # #/sbin/modprobe ip_masq_raudio # Supports the masquerading of IRC DCC file transfers # #/sbin/modprobe ip_masq_irc # Supports the masquerading of Quake and QuakeWorld by default. This modules is # for for multiple users behind the Linux MASQ server. If you are going to # play Quake I, II, and III, use the second example. # # NOTE: If you get ERRORs loading the QUAKE module, you are running an old # ----- kernel that has bugs in it. Please upgrade to the newest kernel. # #Quake I / QuakeWorld (ports 26000 and 27000) #/sbin/modprobe ip_masq_quake # #Quake I/II/III / QuakeWorld (ports 26000, 27000, 27910, 27960) #/sbin/modprobe ip_masq_quake 26000,27000,27910,27960 # Supports the masquerading of the CuSeeme video conferencing software # #/sbin/modprobe ip_masq_cuseeme #Supports the masquerading of the VDO-live video conferencing software # #/sbin/modprobe ip_masq_vdolive #CRITICAL: Enable IP forwarding since it is disabled by default # # Redhat Users: you may try changing the options in # /etc/sysconfig/network from: # # FORWARD_IPV4=false # to # FORWARD_IPV4=true # echo "1" > /proc/sys/net/ipv4/ip_forward #CRITICAL: Enable automatic IP defragmenting since it is disabled by default # # This used to be a compile-time option but the behavior was changed # in 2.2.12. This option is required for both 2.0 and 2.2 kernels. # echo "1" > /proc/sys/net/ipv4/ip_always_defrag # Dynamic IP users: # # If you get your Internet IP address dynamically from SLIP, PPP, or DHCP, # enable this following option. This enables dynamic-ip address hacking in # IP MASQ, making the life with DialD, PPPd, and similar programs much easier. # #echo "1" > /proc/sys/net/ipv4/ip_dynaddr # MASQ timeouts # # 2 hrs timeout for TCP session timeouts # 10 sec timeout for traffic after the TCP/IP "FIN" packet is received # 160 sec timeout for UDP traffic (Important for MASQ'ed ICQ users) # /sbin/ipfwadm -M -s 7200 10 160 # DHCP: For people who receive their external IP address from either DHCP or # BOOTP such as ADSL or Cablemodem users, it is necessary to use the # following before the deny command. The "bootp_client_net_if_name" # should be replaced the name of the link that the DHCP/BOOTP server # will put an address on to. This will be something like "eth0", # "eth1", etc. # # This example is currently commented out. # # #/sbin/ipfwadm -I -a accept -S 0/0 67 -D 0/0 68 -W bootp_clients_net_if_name -P udp # Enable simple IP forwarding and Masquerading # # NOTE: The following is an example for an internal LAN address in the # 192.168.0.x network with a 255.255.255.0 or a "24" bit subnet mask # connecting to the Internet on interface eth0. # # ** Please change this network number, subnet mask, and your Internet # ** connection interface name to match your internal LAN setup # /sbin/ipfwadm -F -p deny /sbin/ipfwadm -F -a m -W eth0 -S 192.168.0.0/24 -D 0.0.0.0/0 </verb> </tscreen> --> <tscreen> <verb> # rc.firewall - IPFWADM を用いた、 2.0.x カーネルの為の、 # 初歩的で単純な IP マスカレードの設定 # # 必要な IP MASQ モジュールを全て読み込みます。 # # 注意 - 必要とする IP MASQ モジュールだけをロードしてください。 # 現在の IP MASQ モジュールの全てが以下に記されていますが、 # コメントアウトすることでロードを抑止することができます。 # モジュールのロードの初期段階に必要です。 # # /sbin/depmod -a # Supports the proper masquerading of FTP file transfers using the PORT method # PORT メソッドを用いた FTP ファイル転送の適切なマスカレーディングを # サポートします。 # 【訳注: PORT メソッドはパッシブモードでない、通常の FTP 接続を指します。 # 接続後、データポートを使用する際に、 FTP サーバ側からクライアント側に # 対して TCP 接続を確立しようとします。 # このモジュールは FTP クライアントをパッシブモードで使用する際には不要 # です。】 # /sbin/modprobe ip_masq_ftp # UDP 上で RealAudio のマスカレーディングをサポートします。 # このモジュールがないと、 RealAudio は機能しますが、 TCP モードで動作 # し、その結果として音質の劣化をひき起こします。 # #/sbin/modprobe ip_masq_raudio # IRC における DCC ファイル転送のマスカレーディングをサポートします。 </verb></tscreen> <tscreen> 【訳注: DCC (Direct Client Connection) とは、client 同士が IRC server を 介さずに直接 connection を張ってファイルを送受したり、会話をしたりする しくみを指します。 DCC の詳細については <htmlurl url="http://www.linux.or.jp/JF/JFdocs/irchat-micro-howto.html" name="irchat-micro-howto"> や、 <htmlurl url="ftp://ftp.kyoto.wide.ad.jp/IRC/irchat/irchat-2.4jp24k.tar.gz" name="irchat-jp パッケージ"> に添付されている FAQ-about-jp24.txt 等を参照してください。】 </tscreen> <tscreen><verb> # #/sbin/modprobe ip_masq_irc # デフォルトで Quake 及び QuakeWorld のマスカレーディングをサポートします。 # このモジュールは Linux MASQ サーバの後ろ側にいる複数のユーザの為にあり # ます。 # Quake I, II, 及び III をプレイするつもりなら、 2番目の例を用いてください。 # # 注意 - もし QUAKE モジュールのロードに失敗して ERROR が表示されたら、 # ----- それはバグが含まれた古いカーネルです。最新のカーネルに更新して # ください。 # #Quake I / QuakeWorld (ports 26000 and 27000) #/sbin/modprobe ip_masq_quake # #Quake I/II/III / QuakeWorld (ports 26000, 27000, 27910, 27960) #/sbin/modprobe ip_masq_quake 26000,27000,27910,27960 # CuSeeme ビデオ会議ソフトウェアのマスカレーディングをサポートします。 # #/sbin/modprobe ip_masq_cuseeme # VDO-live ビデオ会議ソフトウェアのマスカレーディングをサポートします。 # #/sbin/modprobe ip_masq_vdolive #致命的 - デフォルトで無効になっている IP フォワーディングを有効にします。 # # Redhat ユーザへ - /etc/sysconfig/network を以下のように # 書き換えて、このオプションを変更させる # ことができるでしょう。 # # FORWARD_IPV4=false # to # FORWARD_IPV4=true # echo "1" > /proc/sys/net/ipv4/ip_forward #致命的 - デフォルトで無効になっている IP デフラグメント(最適化)を有効に # します。 # これはコンパイル時のオプションで有効でしたが、 2.2.12 の時に # その動作が変更されてしまいました。 # このオプションは 2.0 及び 2.2 カーネルの両方に必要です。 # echo "1" > /proc/sys/net/ipv4/ip_always_defrag # 動的 IP ユーザへ - # # もし SLIP, PPP, 或は DHCP で動的に IP アドレスを得ているなら、ここに # 記す以下のオプションを有効にしてください。 # これによって IP MASQ において動的 IP アドレスのハッキングを実現し、 # 容易に Diald や同様のプログラムの稼働時間を伸ばします。 # #echo "1" > /proc/sys/net/ipv4/ip_dynaddr # MASQ タイムアウト値 # # TCP セッションにおいて 2 時間のタイムアウト値を、 # TCP/IP "FIN" パケットを受信後のトラフィックにおいて 10 秒のタイムアウト # 値を、 # UDP トラフィックにおいて 160 秒のタイムアウト値(MASQ された ICQ ユーザ # の為に重要です) を設定します。 # /sbin/ipfwadm -M -s 7200 10 160 # DHCP - ADSL や ケーブルモデムのユーザのような、DHCP 或は BOOTP の # いずれかから、外部 IP アドレスを取得する人は、この後に記述される # ipchains の deny コマンドの前にこの行を必要とします。 # "bootp_client_net_if_name" には DHCP/BOOTP サーバがアドレスを # 割り当てるインターフェース名に書き換えてください。 # 恐らく "eth0", "eth1" 等になることでしょう。 # # この例は今の所コメントアウトしています。 # # #/sbin/ipfwadm -I -a accept -S 0/0 67 -D 0/0 68 -W bootp_clients_net_if_name -P udp # 単純な IP フォワーディング及びマスカレーディングを有効にします。 # # 注意 - 以下の例は 192.168.0.x の内部 LAN アドレスで 255.255.255.0 又は # "24" ビットのサブネットマスクよりなるネットワークが、 eth0 # インターフェースを通じてインターネットへ接続される場合を記して # います。 # # ** あなたの内部 LAN の設定に合うように、ネットワーク番号、 # ** サブネットマスク及びインターネット接続のインターフェース名 # ** を変更してください。 # /sbin/ipfwadm -F -p deny /sbin/ipfwadm -F -a m -W eth0 -S 192.168.0.0/24 -D 0.0.0.0/0 </verb> </tscreen> <!-- Once you are finished with editing the /etc/rc.d/rc.firewall ruleset, make it executable by typing in "<tt>chmod 700 /etc/rc.d/rc.firewall</tt>" --> 一旦 /etc/rc.d/rc.firewall のルールセットを編集し終えたら、実行可能に するように <tt>chmod 700 /etc/rc.d/rc.firewall</tt> を入力し、実行して ください。 <p> <!-- Now that the firewall ruleset is ready to go, you need to let it run after every reboot. You could either do this by running it by hand everytime (a pain) or add it to the boot scripts. We have covered two methods below: --> さて、ファイアウォールのルールセットの準備が整いました。 これをリブート後に実行させる必要があります。 実行には、毎回手で行う方法 (苦痛です) か、ブートスクリプトに追加する方法 があります。 以下に 2つの方法を記しておきました - <p> <!-- <itemize>Redhat and Redhat-derived distros: <p> <itemize> <item>There are two ways to load things in Redhat: /etc/rc.d/rc.local or a init script in /etc/rc.d/init.d/. The first method is the easiest. All you have to do is add the line: <p> <itemize> echo "Loading the rc.firewall ruleset.." <p> /etc/rc.d/rc.firewall </itemize> </itemize> <p> to the end of the /etc/rc.d/rc.local file and thats it. The problem with this approach is that if you are running a STRONG firewall ruleset, the firewall isn't executed until the last stages of booting. The preferred approach is to have the firewall loaded just after the networking subsystem is loaded. For now, the HOWTO only covers how to do the /etc/rc.d/rc.local way. If you want the stronger system, I recommend you check out Section 10 of TrinityOS found in the links section at the bottom of this HOWTO. </itemize> --> <itemize>Redhat 及び Redhat から派生したディストリビューション - <p> <itemize> <item>起動スクリプトのロードに関し、 Redhat には 2つの方法があります - /etc/rc.d/rc.local 或は /etc/rc.d/init.d/ の中にある init スクリプトです。 前者の方法が最も簡単です。やるべきことは以下の行を /etc/rc.d/rc.local ファイルの最後に追加することです - <p> <itemize> echo "Loading the rc.firewall ruleset.." /etc/rc.d/rc.firewall </itemize> </itemize> <p> この手法の問題点は、強固なファイアウォールのルールセットを動作させようと する際に、ファイアウォールはブート終了に至るまで実行されない、という点に あります。 好ましい手法としては、ネットワークサブシステムの設定がロードされた直後に、 ファイアウォールの設定がロードされるようにすることです。 今の所、この HOWTO は /etc/rc.d/rc.local の設定のみを扱っています。 より強固なシステムをお望みなら、この HOWTO の最後の章にリンクがある TrinityOS の10章を参照することをお薦めします。 </itemize> <p> <itemize>Slackware: <p> <!-- <itemize> <item>There are two ways to load things in Slackware: /etc/rc.d/rc.local or editing the /etc/rc.d/rc.inet2 file. The first method is the easiest. All you have to do is add the line: <p> <itemize> echo "Loading the rc.firewall ruleset.."<p> /etc/rc.d/rc.firewall </itemize> <p> to the end of the /etc/rc.d/rc.local file and thats it. The problem with this approach is that if you are running a STRONG firewall ruleset, the firewall isn' t executed until the last stages of booting. The preferred approach is to have the firewall loaded just after the networking subsystem is loaded. For now, the HOWTO only covers how to do the /etc/rc.d/rc.local way. If you want the strong er system, I recommend you check out Section 10 of TrinityOS found in the links section at the bottom of this HOWTO. </itemize> </itemize> --> <itemize> <item>起動スクリプトのロードに関し、 Slackware には 2つの方法があります - /etc/rc.d/rc.local 或は /etc/rc.d/rc.inet2 ファイルを編集することです。 前者の方法が最も簡単です。やるべきことは以下の行を /etc/rc.d/rc.local ファイルの最後に追加することです - <p> <itemize> echo "Loading the rc.firewall ruleset.."<p> /etc/rc.d/rc.firewall </itemize> <p> この手法の問題点は、強固なファイアウォールのルールセットを動作させようと する際に、ファイアウォールはブート終了に至るまで実行されない、という点に あります。 好ましい手法としては、ネットワークサブシステムの設定がロードされた直後に、 ファイアウォールの設定がロードされるようにすることです。 今の所、この HOWTO は /etc/rc.d/rc.local の設定のみを扱っています。 より強固なシステムをお望みなら、この HOWTO の最後の章にリンクがある TrinityOS の10章を参照することをお薦めします。 </itemize> </itemize> <p> <!-- <bf>Notes on how users might want to change the above firewall ruleset:</bf> --> <bf>上述のファイアウォールのルールセットを変更したいユーザへの注意 - </bf> <p> <!-- You could have also enabled IP Masquerading on a PER MACHINE basis instead of the above method enabling an ENTIRE TCP/IP network. For example, say if I wanted only the 192.168.0.2 and 192.168.0.8 hosts to have access to the Internet and NOT any of the other internal machines. I would change the in the "Enable simple IP forwarding and Masquerading" section (shown above) of the /etc/rc.d/rc.firewall ruleset. --> 完全な TCP/IP ネットワークを実現する上述の方法の代わりに、*単体のマシン だけ*の IP マスカレーディングを実現したいと思う方もいることでしょう。 例えば、私は 192.168.0.2 と 192.168.0.8 のホストだけをインターネットへ 接続させたいとします。この時内部ネットワーク上に他のマシンは存在しません。 私は (上述の) "単純な IP フォワーディング及びマスカレーディングを実現する" の章の、 /etc/rc.d/rc.firewall のルールセットを、以下のように書き換えます。 <!-- <tscreen> <verb> # Enable simple IP forwarding and Masquerading # # NOTE: The following is an example to only allow IP Masquerading for the # 192.168.0.2 and 192.168.0.8 machines with a 255.255.255.0 or a "24" # bit subnet mask connecting to the Internet on interface eth0. # # ** Please change this network number, subnet mask, and your Internet # ** connection interface name to match your internal LAN setup # # Please use the following in ADDITION to the simple ruleset above for # specific MASQ networks. # /sbin/ipfwadm -F -p deny /sbin/ipfwadm -F -a m -W eth0 -S 192.168.0.2/32 -D 0.0.0.0/0 /sbin/ipfwadm -F -a m -W eth0 -S 192.168.0.8/32 -D 0.0.0.0/0 </verb> </tscreen> --> <tscreen> <verb> #!/bin/sh # # 単純な IP フォワーディング及びマスカレーディングを有効にします。 # # 注意 - 以下の例は 192.168.0.x の内部 LAN アドレスで 255.255.255.0 又は # "24" ビットのサブネットマスクよりなるネットワークが、 eth0 # インターフェースを通じてインターネットへ接続される場合を記して # います。 # # ** あなたの内部 LAN の設定に合うように、ネットワーク番号、 # ** サブネットマスク及びインターネット接続のインターフェース名 # ** を変更してください。 # /sbin/ipfwadm -F -p deny /sbin/ipfwadm -F -a m -W eth0 -S 192.168.0.2/32 -D 0.0.0.0/0 /sbin/ipfwadm -F -a m -W eth0 -S 192.168.0.8/32 -D 0.0.0.0/0 </verb> </tscreen> <p> <!-- <bf>Common mistakes:</bf> --> <bf>よくある間違い - </bf> <p> <!-- What appears to be a common mistake with new IP Masq users is to make the first command: --> 初期段階の IP Masq ユーザが犯しがちなよくある間違いとして、 以下のようなコマンドがあります - <verb> ipfwadm -F -p masquerade </verb> <!-- Do <bf>NOT</bf> make your default policy be MASQUERADING. Otherwise someone who can manipulate their routing tables will be able to tunnel straight back through your gateway, using it to masquerade their OWN identity! --> 決して、デフォルトポリシーをマスカレーディングにしては<bf>いけません</bf>。 さもなくば、経路テーブルを操作できる誰かがあなたのゲートウェイマシンに 穴を開け、自身の身元をマスカレードしてしまうかも知れないからです! <p> <!-- Again, you can add these lines to the <tt>/etc/rc.d/rc.firewall</tt> file, one of the other rc files you prefer, or do it manually every time you need IP Masquerade. --> 繰り返します、これらの行は <tt>/etc/rc.d/rc.firewall</tt> ファイルか、 あなたが選択する他の rc ファイルのうちの一つに追加できるか、 IP マスカレードを必要とする度毎に手作業で実行できます。 <p> <!-- Please see the <ref id="Strong-IPCHAINS-Rulesets"> and <ref id="Strong-IPFWADM-Rulesets"> sections for a detailed guide and stronger examples of IPCHAINS and IPFWADM ruleset examples. --> より強固な IPCHAINS と IPFWADM のルールセットの例の詳細な手引に関しては、 <ref id="Strong-IPCHAINS-Rulesets" name="強い IPCHAINS のルールセット"> と <ref id="Strong-IPFWADM-Rulesets" name="強い IPFWADM のルールセット"> の 章を参照してください。 <!-- 3章ここまで 翻訳: 松田 校正: 水原文さん <mizuhara@acm.org> 四亭さん <isao@m05.htmnet.ne.jp> 山口しんごさん <shingoyam@home.com> 松田陽一 <matsuda@palnet.or.jp> --> <!-- Section 4 --> <p> <!-- <label id="Configuring-clients"> ここにあると文書内ジャンプがうまく行きません。(松田) --> <!-- - - - - - - Start of Original - - - - - - - - - <sect> Configuring the other internal to-be MASQed machines <p> Besides setting the appropriate IP address for each internal MASQed machine, you should also set each internal machine with the appropriate gateway IP address of the Linux MASQ server and required DNS servers. In general, this is rather straight forward. You simply enter the address of your Linux host (usually 192.168.0.1) as the machine's gateway address. - - - - - - - - End of Original - - - - - - - - - --> <sect> マスカレード接続する他の内部マシンの設定 <!-- 文書内ジャンプの為に label 文をここに入れました。(松田) --> <label id="Configuring-clients"> <p> マスカレード接続する各内部マシンでは、適切な IP アドレスを設定するだけでなく、Linux マスカレードサーバと DNS サーバのゲートウェイ IP アドレスを設定する必要もあります。一般的に言って、それほど難しい作業ではありません。Linux ホストのアドレス(通常は、192.168.0.1 というアドレス)をゲートウェイアドレスとして入力するだけです。 <p> <!-- - - - - - - Start of Original - - - - - - - - - For the Domain Name Service, you can add in any DNS servers that are available. The most apparent one should be the one that your Linux server is using. You can optionally add any "domain search" suffix as well. - - - - - - - - End of Original - - - - - - - - - --> DNS(ドメインネームサービス)には、利用できる DNS サーバであれば、どの DNS サーバを指定してもかまいません。Linux サーバの使用しているものと同じ DNS サーバを指定するのが分かりやすいでしょう。このとき、任意の「ドメインサーチ」サフィックスを追加することもできます。 <p> <!-- - - - - - - Start of Original - - - - - - - - - After you have properly reconfigured the internal MASQed machines, remember to restart their appropriate network services or reboot them. - - - - - - - - End of Original - - - - - - - - - --> 内部マスカレードマシンの設定を終えたら、ネットワークサービスを起動し直すか、システムをリブートしてください。 <p> <!-- - - - - - - Start of Original - - - - - - - - - The following configuration instructions assume that you are using a Class C network with 192.168.0.1 as your Linux MASQ server's address. Please note that 192.168.0.0 and 192.168.0.255 are reserved TCP/IP address. - - - - - - - - End of Original - - - - - - - - - --> ここでは、Linux マスカレードサーバのアドレスとして 192.168.0.1 というクラス C ネットワークアドレスを使用するものとして設定の手順を説明します。192.168.0.0 と 192.168.0.255 は、LAN に予約されている TCP/IP アドレスです。 <p> <!-- - - - - - - Start of Original - - - - - - - - - As it stands, the following Platforms have been tested as internal MASQed machines. This is only an EXAMPLE of all of the compatible OSes out there:<p> - - - - - - - - End of Original - - - - - - - - - --> 以下のプラットフォームは、内部マスカレードマシンとして使用実績の あるものです。 これらはマスカレードに対応した OS の一例にすぎません。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <itemize> <item>Apple Macintosh OS (with MacTCP or Open Transport) <item>Commodore Amiga (with AmiTCP or AS225-stack) <item>Digital VAX Stations 3520 and 3100 with UCX (TCP/IP stack for VMS) <item>Digital Alpha/AXP with Linux/Redhat <item>IBM AIX running on a RS/6000 <item>IBM OS/2 (including Warp v3) <item>IBM OS400 running on a AS/400 <item>Linux 1.2.x, 1.3.x, 2.0.x, 2.1.x, 2.2.x <item>Microsoft DOS (with NCSA Telnet package, DOS Trumpet works partially) <item>Microsoft Windows 3.1 (with the Netmanage Chameleon package) <item>Microsoft Windows For Workgroup 3.11 (with TCP/IP package) <item>Microsoft Windows 95, OSR2, 98, 98se <item>Microsoft Windows NT 3.51, 4.0, 2000 (both workstation and server) <item>Novell Netware 4.01 Server with the TCP/IP service <item>SCO Openserver (v3.2.4.2 and 5) <item>Sun Solaris 2.51, 2.6, 7 </itemize> - - - - - - - - End of Original - - - - - - - - - --> <itemize> <item>Apple Macintosh OS(MacTCP または Open Transport 機能の動作しているもの) <item>Commodore Amiga(AmiTCP または AS225 スタックの動作しているもの) <item>Digital VAX Stations 3520 及び 3100 で稼動している UCX(VMS 用の TCP/IP スタックがあるもの) <item>Digital Alpha/AXP で稼動する Linux/Redhat <item>RS/6000 で稼動する IBM AIX <item>IBM OS/2(Warp v3 を含む) <item>AS/400 で稼動する IBM OS400 <item>Linux 1.2.x、1.3.x、2.0.x、2.1.x、2.2.x <item>Microsoft DOS(NCSA Telnet パッケージを使用し、DOS Trumpet が一部機能しているもの) <item>Microsoft Windows 3.1(Netmanage Chameleon パッケージを使用しているもの) <item>Microsoft Windows For Workgroup 3.11(TCP/IP パッケージの動作しているもの) <item>Microsoft Windows 95、OSR2、98、98SE <item>Microsoft Windows NT 3.51、4.0、2000(Workstation 及び Server) <item>Novell Netware 4.01 Server(TCP/IP サービスの動作しているもの) <item>SCO Openserver(v3.2.4.2 及び 5) <item>Sun Solaris 2.51、2.6、7 </itemize> 【訳注: Microsoft Windows for Workgroup 3.11 は、日本では発売 されていません。】 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- - - - - - - Start of Original - - - - - - - - - <sect1> Configuring Microsoft Windows 95 - - - - - - - - End of Original - - - - - - - - - --> <sect1> Microsoft Windows 95 での設定 <p> <!-- - - - - - - Start of Original - - - - - - - - - <enum> <item>If you haven't installed your network card and adapter driver, do so now. Description of this is beyond the scope of this document. - - - - - - - - End of Original - - - - - - - - - --> <enum> <item>あらかじめネットワークカードやアダプタドライバをインストールしておきます。インストールの手順については、ネットワークカードの説明書を参照してください。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Go to the <em>'Control Panel'</em> --> <em>'Network'</em>. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「コントロールパネル」</em>から<em>「ネットワーク」</em>を選択します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Click on <em>Add</em> --> <em>Protocol</em> --> <em>Manufacture: Microsoft</em> --> <em>Protocol:</em> <em>'TCP/IP protocol'</em> if you don't already have it. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「追加」</em>→<em>「プロトコル」</em>→<em>「製造元: Microsoft(Manufacture: Microsoft)」</em>→<em>「プロトコル: </em><em>TCP/IP プロトコル」</em>を選択します(すでに TCP/IP プロトコルがインストールされていれば、この作業は不要です)。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Highlight the TCP/IP item bound to your Windows95 network card and select <em>'Properties'</em>. Now goto the <em>'IP Address'</em> tab and set IP Address to 192.168.0.x, (1 < x < 255), and then set the Subnet Mask to 255.255.255.0 - - - - - - - - End of Original - - - - - - - - - --> <item>Windows95 のネットワークカードの TCP/IP 項目を選択した状態で<em>「プロパティ」</em>をクリックします。<em>「IP アドレス」</em>タブを開いて、IP アドレスを 192.168.0.x(1 < x < 255)に設定し、「サブネットマスク」を 255.255.255.0 に設定します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Now select the <em>"Gateway"</em> tab and add 192.168.0.1 as your gateway under <em>'Gateway'</em> and hit "Add". - - - - - - - - End of Original - - - - - - - - - --> <item>次に、<em>「ゲートウェイ」</em>タブを開いて、<em>「ゲートウェイ」</em>に 192.168.0.1 と入力し、「追加」をクリックします。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Under the <em>'DNS Configuration'</em> tab, make sure to put in a name for this machine and enter in your official domain name. If you don't have your own domain, put in the domain of your ISP. Now, add all of the DNS server that your Linux host uses (usually found in <tt>/etc/resolv.conf</tt>). Usually these DNS servers are located at your ISP though you can be running either your own CACHING or Authoritative DNS server on your Linux MASQ server as well. Optionally, you can add any appropriate domain search suffixes as well. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「DNS の設定」</em>タブで、自分のマシンの名前が示されている ことを確認してから、公式なドメイン名を入力します。 自前のドメインがない場合には、利用しているインターネットプロバイダ (ISP) のドメイン名を入力します。 次に、 Linux ホストの使用している DNS サーバ (通常は、 <tt>/etc/resolv.conf</tt> で指定されている DNS サーバ) をすべて追加します。 こうした DNS サーバには、あなたの Linux マスカレードサーバ上にある 独自のキャッシングネームサーバや正式な DNS サーバを使用することも できますが、 ISP のサーバを指定するのが普通です。 このとき、ドメインサーチサフィックスを付けることもできます。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Leave all the other settings as they are unless you know what you're doing. - - - - - - - - End of Original - - - - - - - - - --> <item>よく分からなければ、ほかの設定はすべてそのままにしておきます。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Click <em>'OK'</em> on all dialog boxes and restart system. - - - - - - - - End of Original - - - - - - - - - --> <item>すべてのダイアログボックスで<em>「OK」</em>をクリックして、システムを再起動します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item><tt/Ping/ the linux box to test the network connection: <em>'Start/Run'</em>, type: <tt>ping 192.168.0.1</tt> &nl;(This is only an INTERNAL LAN connection test, you can't <tt/ping/ the outside world yet.) If you don't see "replies" to your PINGs, please verify your network configuration. - - - - - - - - End of Original - - - - - - - - - --> <item>Linux マシンに <tt/ping/ を打ち、ネットワーク接続をテストします。 <em>「ファイル名を指定して実行」</em>で、以下のように入力してください - <tt>ping 192.168.0.1</tt> &nl;(まだ LAN の接続をテストしているだけなので、LAN の外部へ <tt/ping/ は打てません)。 ping に「応答」がない場合には、ネットワークの設定を確認してください。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>You can optionally create a <tt/HOSTS/ file in the C:\Windows directory so that you can ping the "hostname" of the machines on your LAN without the need for a DNS server. There is an example called <tt/HOSTS.SAM/ in the C:\windows directory. </enum> - - - - - - - - End of Original - - - - - - - - - --> <item>C:\Windows ディレクトリに <tt/HOSTS/ というファイルを作成しておけば、DNS サーバを使用しなくても各 LAN マシンの「ホスト名」に ping が通るようなります。C:\windows ディレクトリには <tt>HOSTS.SAM</tt> というサンプルファイルが収められています。</enum> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- - - - - - - Start of Original - - - - - - - - - <sect1> Configuring Windows NT - - - - - - - - End of Original - - - - - - - - - --> <sect1> Windows NT での設定 <p> 【訳注: これは NT 3.x の設定方法で、UI (ダイヤログやタブ)の訳も NT 3.x に基づくものです。NT4.0 や Windows 2000 など、その他の Windows NT 系 OS の設定も概念としては同様ですが、手順の詳細についてはOS の マニュアルを参照してください。】</p> <p> <enum> <!-- - - - - - - Start of Original - - - - - - - - - <item>If you haven't installed your network card and adapter driver, do so now. Description of this is beyond the scope of this document. - - - - - - - - End of Original - - - - - - - - - --> <item>あらかじめネットワークカードやアダプタドライバをインストールしておきます。インストールの手順については、ネットワークカードの説明書を参照してください。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Go to <em>'Control Panel'</em> --> <em>'Network'</em> --> <em>Protocols</em> - - - - - - - - End of Original - - - - - - - - - --> <item><em>「コントロールパネル」</em>→<em>「ネットワーク」</em>→<em>「プロトコル」</em>を選択します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Add the TCP/IP Protocol and related Components from the <em>'Add Software'</em> menu if you don't have TCP/IP service installed already. - - - - - - - - End of Original - - - - - - - - - --> <item>TCP/IP サービスをまだインストールしていない場合には、<em>「ソフトウェアの追加」</em>メニューから TCP/IP プロトコルと関連コンポーネントを追加します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Under <em>'Network Software and Adapter Cards'</em> section, highlight the <em>'TCP/IP Protocol'</em> in the <em>'Installed Network Software'</em> selection box. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「ネットワークソフトウェアとアダプタカード(Network Software and Adapter Cards)」</em>で<em>「組み込まれているネットワークソフトウェア(Installed Network Software)」</em>という選択ボックスから<em>「TCP/IP プロトコル(TCP/IP Protocol)」</em>を選択します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>In <em>'TCP/IP Configuration'</em>, select the appropriate adapter, e.g. <tt>[1]Novell NE2000 Adapter</tt>. Then set the IP Address to 192.168.0.x (1 < x < 255), then set Subnet Mask to 255.255.255.0 and Default Gateway to 192.168.0.1 - - - - - - - - End of Original - - - - - - - - - --> <item><em>「TCP/IP の構成」</em>で、適切なアダプタ(たとえば、<tt>[1]Novell NE2000 Adapter</tt>)を選択します。IP アドレスを 192.168.0.x(1 < x < 255)に設定し、サブネットマスクを 255.255.255.0 に、デフォルトゲートウェイを 192.168.0.1 に設定します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Do not enable any of the following options (unless you know what you are exactly doing): - - - - - - - - End of Original - - - - - - - - - --> <item>(各オプションの機能を正確に理解していない限り)以下のオプションは 有効にしないでください。 <p> <itemize> <!-- - - - - - - Start of Original - - - - - - - - - <item><em>'Automatic DHCP Configuration'</em> : Unless you have a DHCP server running on your network. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「DHCP 自動構成を有効にする」</em> - このオプションは、ネットワークで DHCP サーバを使用していない限り無効にします。 <!-- - - - - - - Start of Original - - - - - - - - - <item>Put anything in the <em>'WINS Server'</em> input areas : Unless you have setup one or more WINS servers. - - - - - - - - End of Original - - - - - - - - - --> <item>1つまたは複数の WINS サーバをセットアップしていない限り、 <em>「WINS サーバ」</em>の入力欄には何も入力しないてください。 <!-- - - - - - - Start of Original - - - - - - - - - <item><em>Enable IP Forwardings</em> : Unless you are routing on your NT machine and really -REALLY- know EXACTLY what you're doing. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「IP フォワーディングを有効にする」</em> - Windows NT マシンでルーティングを行うのでなく、本当に、 -本当に- 正確に何をするのかを知らない場合には、有効にしないで ください。 </itemize> <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Click <em>'DNS'</em>, fill in the appropriate information that your Linux host uses (usually found in /etc/resolv.conf) and then click <em>'OK'</em> when you're done. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「DNS」</em>をクリックし、Linux ホストの使用している DNS サーバのアドレスを入力します(このアドレスは、通常、/etc/resolv.conf にあります)。入力を終えたら<em>「OK」</em>をクリックします。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Click <em>'Advanced'</em>, be sure to DISABLE <em>'DNS for Windows Name Resolution'</em> and <em>'Enable LMHOSTS lookup'</em> unless you known what these options do. If you want to use a LMHOSTS file, it is stored in C:\winnt\system32\drivers\etc. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「詳細」</em>をクリックし、<em>「Windows 名前解決に DNS を使用する」</em>と<em>「LMHOSTS の参照を行う」</em>というオプションにチェックが入っていないことを確かめます。よく分からなければ、これらのオプションは無効なままにしておきます。LMHOSTS ファイルを使用する場合、このファイルは C:\winnt\system32\drivers\etc に置かれます。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Click <em>'OK'</em> on all dialog boxes and restart system. - - - - - - - - End of Original - - - - - - - - - --> <item>すべてのダイアログボックスに<em>「OK」</em>と答えて、システムを再起動させます。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item><tt/Ping/ the linux box to test the network connection: <em>'File/Run'</em>, type: <tt>ping 192.168.0.1</tt> &nl;(This is only an INTERNAL LAN connection test, you can't <tt/ping/ the outside world yet.) If you don't see "replies" to your PINGs, please verify your network configuration. - - - - - - - - End of Original - - - - - - - - - --> <item>Linux マシンに <tt/ping/ を打ってネットワーク接続をテストします。 <em>「ファイル名を指定して実行」</em>で、以下のように入力します - <tt>ping 192.168.0.1</tt> &nl;(まだ LAN の接続をテストしているだけなので、LAN の外部へ <tt>ping</tt> は打てません)。 ping に「応答」がない場合にはネットワークの設定を確認してください。 </enum> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- - - - - - - Start of Original - - - - - - - - - <sect1> Configuring Windows for Workgroup 3.11 - - - - - - - - End of Original - - - - - - - - - --> <sect1> Windows for Workgroup 3.11 での設定 <p> 【訳注: Microsoft Windows for Workgroup 3.11 は、日本では発売 されていません。したがって、UI 用語に正規の翻訳は存在しないのですが、 他の OS の UI 表記に合わせて、「和訳 (原文)」という形にしておきます。】 <p> <enum> <!-- - - - - - - Start of Original - - - - - - - - - <item>If you haven't installed your network card and adapter driver, do so now. Description of this is beyond the scope of this document. - - - - - - - - End of Original - - - - - - - - - --> <item>あらかじめネットワークカードやアダプタドライバをインストールしておきます。インストールの手順については、ネットワークカードの説明書を参照してください。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Install the TCP/IP 32b package if you don't have it already. - - - - - - - - End of Original - - - - - - - - - --> <item>TCP/IP 32b パッケージをインストールしていない場合には、インストールします。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>In <em>'Main'/'Windows Setup'/'Network Setup'</em>, click on <em>'Drivers'</em>. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「メイン(Main)」→「Windows の設定(Windows Setup)」→「ネットワークの設定(Network Setup)」</em>と進んで<em>「ドライバ(Drivers)」</em>をクリックします。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Highlight <em>'Microsoft TCP/IP-32 3.11b'</em> in the <em>'Network Drivers'</em> section, click <em>'Setup'</em>. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「ネットワークドライバ(Network Drivers)」</em>で<em>「Microsoft TCP/IP-32 3.11b」</em>を選択し、<em>「設定(Setup)」</em>をクリックします。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Set the IP Address to 192.168.0.x (1 < x < 255), then set the Subnet Mask to 255.255.255.0 and Default Gateway to 192.168.0.1 - - - - - - - - End of Original - - - - - - - - - --> <item>「IP アドレス(IP Address)」を 192.168.0.x(1 < x < 255)に設定し、「サブネットマスク(Subnet Mask)」を 255.255.255.0 に、「デフォルトゲートウェイ(Default Gateway)」を 192.168.0.1 に設定します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Do not enable any of the following options (unless you know what you are exactly doing): - - - - - - - - End of Original - - - - - - - - - --> <item>(各オプションの機能を正確に理解していない限り)以下のオプションは有効にしないでください。 <p> <itemize> <!-- - - - - - - Start of Original - - - - - - - - - <item><em>'Automatic DHCP Configuration'</em> : Unless you have a DHCP server running on your network. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「DHCP 自動構成を有効にする(Automatic DHCP Configuration)」</em> - このオプションは、ネットワークで DHCP サーバを使用していない限り無効にします。 <!-- - - - - - - Start of Original - - - - - - - - - <item>Put anything in the <em>'WINS Server'</em> input areas : Unless you have setup one or more WINS servers. - - - - - - - - End of Original - - - - - - - - - --> <item>１つまたは複数の WINS サーバをセットアップしていない限り、<em>「WINS サーバ(WINS Server)」</em>の入力フィールドには何も入力しないてください。 </itemize> <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Click <em>'DNS'</em>, fill in the appropriate information your Linux host uses (usually found in /etc/resolv.conf). Then click <em>'OK'</em> when you're done with it. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「DNS」</em>をクリックし、Linux ホストの使用している DNS サーバのアドレスを入力します(このアドレスは、通常、/etc/resolv.conf にあります)。入力を終えたら、<em>「OK」</em>をクリックします。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Click <em>'Advanced'</em>, check <em>'Enable DNS for Windows Name Resolution'</em> and <em>'Enable LMHOSTS lookup'</em> found in c:\windows. <p> - - - - - - - - End of Original - - - - - - - - - --> <item><em>「詳細(Advanced)」</em>をクリックして、c:\windows にある<em>「Windows 名前解決に DNS を使用する(Enable DNS for Windows Name Resolution)」</em>と<em>「LMHOSTS の参照を行う(Enable LMHOSTS lookup)」</em>にチェックを入れます。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Click <em>'OK'</em> on all dialog boxes and restart system. - - - - - - - - End of Original - - - - - - - - - --> <p> <item>すべてのダイアログボックスに<em>「OK」</em>と答えて、システムを再起動させます。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item><tt/Ping/ the linux box to test the network connection: <em>'File/Run'</em>, type: <tt>ping 192.168.0.1</tt> &nl;(This is only an INTERNAL LAN connection test, you can't <tt/ping/ the outside world yet.) If you don't see "replies" to your PINGs, please verify your network configuration. - - - - - - - - End of Original - - - - - - - - - --> <item>Linux マシンに <tt/ping/ を打ってネットワーク接続をテストします。 <em>「ファイル名を指定して実行(File/Run)」</em>で、以下のように入力します - <tt>ping 192.168.0.1</tt> &nl;(まだ LAN の接続をテストしているだけなので、LAN の外部へ <tt/ping/ は打てません)。 ping に「応答」がない場合にはネットワークの設定を確認してください。<p> </enum> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- - - - - - - Start of Original - - - - - - - - - <sect1> Configuring UNIX Based Systems - - - - - - - - End of Original - - - - - - - - - --> <sect1> UNIX 系システムでの設定 <p> <enum> <!-- - - - - - - Start of Original - - - - - - - - - <item>If you haven't installed your network card and recompile your kernel with the appropriate adapter driver, do so now. Description of this is beyond the scope of this document. - - - - - - - - End of Original - - - - - - - - - --> <item>あらかじめネットワークカードをインストールし、適切なアダプタドライバを組み込んでカーネルをコンパイルし直しておきます。 インストールの手順については、ネットワークカードの説明書を参照してください。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Install TCP/IP networking, such as the net-tools package, if you don't have it already. - - - - - - - - End of Original - - - - - - - - - --> <item>net-tools パッケージのような TCP/IP ネットワーク機能を インストールしておきます。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Set <em/IPADDR/ to 192.168.0.x (1 < x < 255), then set <em/NETMASK/ to 255.255.255.0, <em/GATEWAY/ to 192.168.0.1, and <em/BROADCAST/ to 192.168.0.255 - - - - - - - - End of Original - - - - - - - - - --> <item><em/「IPADDR」/を 192.168.0.x（1 < x < 255）に設定したのち、<em/「NETMASK」/ を 255.255.255.0 に、<em/「GATEWAY」/を 192.168.0.1 に、<em/「BROADCAST」/ を 192.168.0.255 に設定します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - For example with Redhat Linux systems, you can edit the <tt>/etc/sysconfig/network-scripts/ifcfg-eth0</tt> file, or simply do it through the Control Panel. These changes are different for other UNIXes such as SunOS, BSDi, Slackware Linux, Solaris, SuSe, Debian, etc...). Please refer to your UNIX documentation for more information. - - - - - - - - End of Original - - - - - - - - - --> たとえば、Redhat Linux の場合、<tt>/etc/sysconfig/network-scripts/ifcfg-eth0</tt> ファイルを編集するか、または「コントロールパネル」を使用することによって上記の変更が行えます。その他の UNIX システム(SunOS、BSDi、Slackware Linux、Solaris、SuSe、Debian など)では変更手順が異なります。詳細については、個々の UNIX システムのドキュメントを参照してください。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Add your domain name service (DNS) and domain search suffix in <tt>/etc/resolv.conf</tt> and for the appropreiate UNIX versions, edit the /etc/nsswitch.conf file to enable DNS services. - - - - - - - - End of Original - - - - - - - - - --> <item>ドメインネームサービス(DNS)とドメインサーチサフィックスを <tt>/etc/resolv.conf</tt> に追加します。UNIX のバージョンによっては、/etc/nsswitch.conf ファイルを編集して DNS サービスを有効にする必要があります。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>You may want to update your <tt>/etc/networks</tt> file depending on your settings. - - - - - - - - End of Original - - - - - - - - - --> <item><tt>/etc/networks</tt> ファイルを更新して設定内容を反映させます。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Restart the appropriate services, or simply restart your system. - - - - - - - - End of Original - - - - - - - - - --> <item>適切なサービスを再始動するか、またはシステムを再起動します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Issue a <tt/ping/ command: <tt>ping 192.168.0.1</tt> to test the connection to your gateway machine. &nl;(This is only an INTERNAL LAN connection test, you can't <tt/ping/ the outside world yet.) If you don't see "replies" to your PINGs, please verify your network configuration. - - - - - - - - End of Original - - - - - - - - - --> <item>ゲートウェイマシンへの接続をテストする為に、次に記す <tt/ping/ コマンドを発行します - <tt>ping 192.168.0.1</tt> &nl;(まだ LAN の接続をテストしているだけなので、LAN の外部へ <tt>ping</tt> は打てません)。 <tt/ping/ に「応答」がない場合にはネットワークの設定を確認してください。 </enum> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- - - - - - - Start of Original - - - - - - - - - <sect1> Configuring DOS using NCSA Telnet package - - - - - - - - End of Original - - - - - - - - - --> <sect1> NCSA Telnet パッケージを使用した DOS の設定 <p> <enum> <!-- - - - - - - Start of Original - - - - - - - - - <item>If you haven't installed your network card, do so now. Description of this is beyond the scope of this document. - - - - - - - - End of Original - - - - - - - - - --> <item>あらかじめネットワークカードをインストールしておきます。インストールの手順については、ネットワークカードの説明書を参照してください。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Load the appropriate packet driver. For example: using a NE2000 Ethernet card set for I/O port 300 and IRQ 10, issue <tt>nwpd 0x60 10 0x300</tt> - - - - - - - - End of Original - - - - - - - - - --> <item>適切なパケットドライバを読み込みます。たとえば、I/O ポートが 300、IRQ が 10 に設定されている NE2000 Ethernet カードを使用する場合には、<tt>nwpd 0x60 10 0x300</tt> というコマンドを実行します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Make a new directory, and then unpack the NCSA Telnet package: <tt>pkunzip tel2308b.zip</tt> - - - - - - - - End of Original - - - - - - - - - --> <item>新しいディレクトリを作成し、<tt>pkunzip tel2308b.zip</tt> と 入力して NCSA Telnet パッケージを展開します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Use a text editor to open the <tt/config.tel/ file - - - - - - - - End of Original - - - - - - - - - --> <item>テキストエディタで <tt/config.tel/ ファイルを開きます。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Set <tt>myip=192.168.0.x</tt> (1 < x < 255), and netmask=255.255.255.0 - - - - - - - - End of Original - - - - - - - - - --> <item><tt/config.tel/ ファイルの <tt>myip=192.168.0.x</tt>(1 < x < 255), netmask=255.255.255.0 と、各々設定します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>In this example, you should set <tt>hardware=packet, interrupt=10, ioaddr=60</tt> - - - - - - - - End of Original - - - - - - - - - --> <item>ここでは、<tt>hardware=packet、interrupt=10、ioaddr=60</tt> と設定します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>You should have at least one individual machine specification set as the gateway, i.e. the Linux host: <p> <tscreen><verb> name=default host=yourlinuxhostname hostip=192.168.0.1 gateway=1 - - - - - - - - End of Original - - - - - - - - - --> <item>少なくとも１台のマシン(つまり、Linux ホスト)をゲートウェイとして指定しておく必要があります。 <p> <tscreen><verb> name=default host=yourlinuxhostname 【訳注: Linux ホストの名前を指定します。】 hostip=192.168.0.1 gateway=1 </verb></tscreen> <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Have another specification for a domain name service: <p> <tscreen><verb> name=dns.domain.com ; hostip=123.123.123.123; nameserver=1 </verb></tscreen> - - - - - - - - End of Original - - - - - - - - - --> <item>ここで、ドメインネームサービスを指定します。 <p> <tscreen><verb> name=dns.domain.com ; hostip=123.123.123.123; nameserver=1 </verb></tscreen> <p> <!-- - - - - - - Start of Original - - - - - - - - - Note: substitute the appropriate information about the DNS that your Linux host uses - - - - - - - - End of Original - - - - - - - - - --> 注 - DNS の部分は、Linux ホストが使用している DNS のアドレスに 置き換えてください。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Save your <tt/config.tel/ file - - - - - - - - End of Original - - - - - - - - - --> <item><tt/config.tel/ ファイルを保存します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Telnet to the linux box to test the network connection: <tt>telnet 192.168.0.1</tt> If you don't receive a LOGIN prompt, please verify your network configuration. - - - - - - - - End of Original - - - - - - - - - --> <item>Linux マシンに telnet して(<tt>telnet 192.168.0.1</tt>)、ネットワーク接続をテストします。LOGIN プロンプトが表示されない場合には、ネットワークの設定を確認してください。 </enum> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- - - - - - - Start of Original - - - - - - - - - <sect1> Configuring MacOS Based System Running MacTCP - - - - - - - - End of Original - - - - - - - - - --> <sect1> MacTCP の動作する MacOS ベースシステムでの設定 <p> <enum> <!-- - - - - - - Start of Original - - - - - - - - - <item>If you haven't installed the appropriate driver software for your Ethernet adapter, do so now. Description of this is beyond the scope of this document. - - - - - - - - End of Original - - - - - - - - - --> <item>あらかじめ Ethernet アダプタのドライバをインストールしておきます。インストールの手順については、ネットワークカードの説明書を参照してください。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Open the <em/MacTCP control panel/. Select the appropriate network driver (Ethernet, NOT EtherTalk) and click on the <em>'More...'</em> button. - - - - - - - - End of Original - - - - - - - - - --> <item><em/「MacTCP コントロールパネル」/を開きます。適切なネットワークドライバ(EtherTalk ではなく Ethernet)を選択し、<em>「詳細(More...)」</em>をクリックします。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Under <em>'Obtain Address:'</em>, click <em>'Manually'</em>. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「アドレスの取得:(Obtain Address:)」</em>で<em>「手動入力(Manually)」</em>をクリックします。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Under <em>'IP Address:'</em>, select <em>class C</em> from the popup menu. Ignore the rest of this section of the dialog box. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「IP アドレス:(IP Address:)」</em>のポップアップメニューから「<em>クラスC(class C)</em>」を選択します。このダイアログボックスのほかの部分は、そのままにしておきます。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Fill in the appropriate information under <em>'Domain Name Server Information:'</em>. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「ドメインネームサーバ情報:(Domain Name Server Information:)」</em>に適切なアドレスを入力します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Under <em>'Gateway Address:'</em>, enter 192.168.0.1 - - - - - - - - End of Original - - - - - - - - - --> <item><em>「ゲートウェイアドレス:(Gateway Address:)」</em>に 192.168.0.1 と入力します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Click <em>'OK'</em> to save the settings. In the main window of the <em/MacTCP control panel/, enter the IP address of your Mac (192.168.0.x, 1 < x < 255) in the <em>'IP Address:'</em> box. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「OK」</em>をクリックして設定値を保存します。<em/「MacTCP コントロールパネル」/のメインウィンドウにある<em>「IP アドレス:(IP Address:)」</em>ボックスに Mac マシンの IP アドレス(192.168.0.x,1 < x < 255)を入力します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Close the <em/MacTCP control panel/. If a dialog box pops up notifying you to do so, restart the system. - - - - - - - - End of Original - - - - - - - - - --> <item><em/「MacTCP コントロールパネル」/を閉じます。再起動を促すダイアログボックスが現れたら、システムを再起動します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>You may optionally ping the Linux box to test the network connection. If you have the freeware program <em/MacTCP Watcher/, click on the <em>'Ping'</em> button, and enter the address of your Linux box (192.168.0.1) in the dialog box that pops up. (This is only an INTERNAL LAN connection test, you can't ping the outside world yet.) If you don't see "replies" to your PINGs, please verify your network configuration. - - - - - - - - End of Original - - - - - - - - - --> <item>この時点で、Linux マシンに telnet してネットワーク接続をテストすることもできます。 <em/MacTCP Watcher/ というフリーウェアプログラムを使用している場合には、<em>「Ping」</em>ボタンをクリックして、ポップアップしたダイアログボックスに Linux マシンのアドレス(192.168.0.1)を入力します(まだ LAN の接続をテストしているだけなので、LAN の外部へ ping は打てません)。ping を打っても「応答」がない場合には、ネットワークの設定を確認してください。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>You can optionally create a <tt/Hosts/ file in your System Folder so that you can use the hostnames of the machines on your LAN. The file should already exist in your System Folder, and should contain some (commented-out) sample entries which you can modify according to your needs. - - - - - - - - End of Original - - - - - - - - - --> <item>システムフォルダに <tt/Hosts/ ファイルを作成すれば、LAN 内のマシンをホスト名で参照できるようになります。このファイルは、すでにシステムフォルダに用意されています。(コメントアウトされた)サンプルエントリが含まれ、個々のニーズに合わせて修正できるようになっています。 </enum> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- - - - - - - Start of Original - - - - - - - - - <sect1> Configuring MacOS Based System Running Open Transport - - - - - - - - End of Original - - - - - - - - - --> <sect1> Open Transport の動作する MacOS ベースシステムでの設定 <p> <enum> <!-- - - - - - - Start of Original - - - - - - - - - <item>If you haven't installed the appropriate driver software for your Ethernet adapter, do so now. Description of this is beyond the scope of this document. - - - - - - - - End of Original - - - - - - - - - --> <item>あらかじめ Ethernet アダプタのドライバをインストールしてしおきます。インストールの手順については、ネットワークカードの説明書を参照してください。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Open the <em>TCP/IP Control Panel</em> and choose <em>'User Mode ...'</em> from the <em/Edit/ menu. Make sure the user mode is set to at least <em>'Advanced'</em> and click the <em>'OK'</em> button. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「TCP/IP コントロールパネル」</em>を開いて、<em/「編集(Edit)」/メニューから<em>「利用者モード(User Mode...)」</em>を選択します。利用者モードが少なくとも<em>「詳しい情報も指定(Advanced)」</em>に設定されていることを確認し、<em>「OK」</em>ボタンをクリックします。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Choose <em>'Configurations...'</em> from the <em>File</em> menu. Select your <em>'Default'</em> configuration and click the <em>'Duplicate...'</em> button. Enter 'IP Masq' (or something to let you know that this is a special configuration) in the <em>'Duplicate Configuration'</em> dialog, it will probably say something like <em>'Default copy'</em>. Then click the <em>'OK'</em> button, and the <em>'Make Active'</em> button - - - - - - - - End of Original - - - - - - - - - --> <item><em>「ファイル(File)」</em>メニューから<em>「設定(Configurations...)」</em>を選択します。 <em>「省略時設定(Default)」</em>を選択し、<em>「複製(Duplicate...)」</em>ボタンをクリックします。 <em>「設定の複製(Duplicate Configuration)」</em>ダイアログで「IP Masq」(もしくは、特別な設定であることが分かるような名前)を入力します。すると、<em>「デフォルトコピー(Default copy)」</em>というようなメッセージが表示されます。<em>「OK」</em>ボタンをクリックして、<em>「済み(Make Active)」</em>ボタンをクリックします。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Select <em>'Ethernet'</em> from the <em>'Connect via:'</em> pop-up. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「経由先:(Connect via:)」</em>ポップアップから<em>「Ethernet」</em>を選択します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Select the appropriate item from the <em>'Configure:'</em> pop-up. If you don't know which option to choose, you probably should re-select your <em>'Default'</em> configuration and quit. I use <em>'Manually'</em>.<p> - - - - - - - - End of Original - - - - - - - - - --> <item><em>「設定:(Configure:)」</em>ポップアップから適切な項目を 選択します。 どのオプションを選んでよいか分からない場合には、先程と同じ <em>「省略時設定(Default)」</em>を選択し、終了してください。 私は<em>「手動入力(Manually)」</em>を選びました。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Enter the IP address of your Mac (192.168.0.x, 1 < x < 255) in the <em>'IP Address:'</em> box. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「IP アドレス:(IP Address:)」</em>ボックスに Mac の IP アドレス(192.168.0.x、1< x < 255)を入力します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Enter 255.255.255.0 in the <em>'Subnet mask:'</em> box. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「サブネットマスク:(Subnet mask:)」</em>ボックスに 255.255.255.0 と入力します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Enter 192.168.0.1 in the <em>'Router address:'</em> box. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「ルータアドレス:(Router address:)」</em>ボックスに 192.168.0.1 と入力します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Enter the IP addresses of your domain name servers in the <em>'Name server addr.:'</em> box. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「ネームサーバアドレス:(Name server addr.:)」</em>ボックスにドメインネームサーバの IP アドレスを入力します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Enter the name of your Internet domain (e.g. 'microsoft.com') in the <em>'Starting domain name'</em> box under <em>'Implicit Search Path:'</em>.<p> - - - - - - - - End of Original - - - - - - - - - --> <item><em>「検索パスの指定:(Implicit Search Path:)」</em>で<em>「自分のドメイン名(Starting domain name)」</em>ボックスにインターネットドメインの名前(たとえば、microsoft.com)を入力します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>The following procedures are optional. Incorrect values may cause erratic behavior. If you're not sure, it's probably better to leave them blank, unchecked and/or un-selected. Remove any information from those fields, if necessary. As far as I know there is no way through the TCP/IP dialogs, to tell the system not to use a previously select alternate "Hosts" file. If you know, I would be interested. - - - - - - - - End of Original - - - - - - - - - --> <item>以下の操作は、必要に応じて行います。不正な値を指定すると、動作が不安定になることがあります。よく分からない場合には、ブランク、未チェック、または未選択のままにしておく方がいいかもしれません。フィールドに値が入力されている場合には、すべて削除してください。わたしの知る限り、TCP/IP ダイアログには、選択済みのカスタム Hosts ファイルの使用を無効化するような機能はないようです。もしあれば、お教えください。 <p> <!-- - - - - - - Start of Original - - - - - - - - - Check the <em>'802.3'</em> if your network requires 802.3 frame types. - - - - - - - - End of Original - - - - - - - - - --> ネットワークで 802.3 フレームタイプが必要とされる場合には、<em>「802.3」</em>にチェックを入れます。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Click the <em>'Options...'</em> button to make sure that the TCP/IP is active. I use the <em>'Load only when needed'</em> option. If you run and quit TCP/IP applications many times without rebooting your machine, you may find that unchecking the <em>'Load only when needed'</em> option will prevent/reduce the effects on your machines memory management. With the item unchecked the TCP/IP protocol stacks are always loaded and available for use. If checked, the TCP/IP stacks are automatically loaded when needed and un-loaded when not. It's the loading and unloading process that can cause your machines memory to become fragmented. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「オプション(Options...)」</em>ボタンをクリックして、TCP/IP をアクティブにします。わたしは<em>「必要なときにだけロード(Load only when needed)」</em>というオプションを使用しています。マシンをリブートせずに TCP/IP アプリケーションの実行と終了を何度も繰り返すような使い方をする場合、<em>「必要なときにだけロード(Load only when needed)」</em>オプションを使用すれば、マシンのメモリ管理に対する影響を防止または軽減できます。 このオプションにチェックを入れなかった場合、TCP/IP プロトコルスタックは、必ずロードされて、いつでも使用できる状態になります。このオプションにチェックを入れた場合、TCP/IP スタックは必要なときに自動的にロードされ、不要になるとアンロードされます。このようなロードとアンロードの繰り返しは、メモリの断片化をまねく恐れがあります。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>You may ping the Linux box to test the network connection. If you have the freeware program <em>MacTCP Watcher</em>, click on the <em>'Ping'</em> button, and enter the address of your Linux box (192.168.0.1) in the dialog box that pops up. (This is only an INTERNAL LAN connection test, you can't ping the outside world yet.) If you don't see "replies" to your PINGs, please verify your network configuration. - - - - - - - - End of Original - - - - - - - - - --> <item>この時点で、Linux マシンに ping を打ってネットワーク接続をテストすることもできます。<em>MacTCP Watcher</em> というフリーウェアプログラムを使用している場合には、<em>「Ping」</em>ボタンをクリックして、ポップアップしたダイアログボックスに Linux マシンのアドレス(192.168.0.1)を入力します(まだ LAN の接続をテストしているだけなので、LAN の外部へ ping は打てません)。ping を打っても「応答」がない場合には、ネットワークの設定を確認してください。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>You can optionally create a <tt/Hosts/ file in your System Folder so that you can use the hostnames of the machines on your LAN. The file may or may not already exist in your System Folder. If so, it should contain some (commented-out) sample entries which you can modify according to your needs. If not, you can get a copy of the file from a system running MacTCP, or just create your own (it follows a subset of the Unix <tt>/etc/hosts</tt> file format, described on RFC952). Once you've created the file, open the <em>TCP/IP control panel</em>, click on the <em>'Select Hosts File...'</em> button, and open the <tt/Hosts/ file. - - - - - - - - End of Original - - - - - - - - - --> <item>システムフォルダに <tt/Hosts/ ファイルを作成すれば、LAN 内のマシンをホスト名で参照できるようになります。このファイルは、すでにシステムフォルダに用意されています。(コメントアウトされた)サンプルエントリが含まれ、個々のニーズに合わせて修正できるようになっています。このファイルがシステムフォルダにない場合には、MacTCP の動作しているシステムからコピーすることもできますし、自分で作成することもできます(このファイルは、RFC952 に記述されている Unix の <tt>/etc/hosts</tt> ファイルフォーマットに準拠したものです)。ファイルを作成したら、<em>「TCP/IP コントロールパネル」</em>を開き、「<tt>Hosts</tt> ファイルの選択...(Select Hosts File...)」ボタンをクリックして <tt/Hosts/ ファイルを開きます。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Click the close box or choose <em>'Close'</em> or <em>'Quit'</em> from the <em>File</em> menu, and then click the <em>'Save'</em> button to save the changes you have made. - - - - - - - - End of Original - - - - - - - - - --> <item>クローズボタンをクリックするか、<em>「ファイル」</em>メニューの<em>「閉じる」</em>または<em>「終了」</em>を選択してから<em>「保存」</em>ボタンをクリックして変更内容を保存します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>The changes take effect immediately, but rebooting the system won't hurt. - - - - - - - - End of Original - - - - - - - - - --> <item>変更内容はただちに反映されますが、システムをリブートしてもかまいません。 </enum> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- - - - - - - Start of Original - - - - - - - - - <sect1> Configuring Novell network using DNS - - - - - - - - End of Original - - - - - - - - - --> <sect1> DNS を使用した Novell ネットワークでの設定 <p> <enum> <!-- - - - - - - Start of Original - - - - - - - - - <item>If you haven't installed the appropriate driver software for your Ethernet adapter, do so now. Description of this is beyond the scope of this document. - - - - - - - - End of Original - - - - - - - - - --> <item>あらかじめ Ethernet アダプタに適切なドライバをインストールしておきます。インストールの手順については、ネットワークカードの説明書を参照してください。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Downloaded tcpip16.exe from <url url="ftp.novell.com/pub/updates/unixconn/lwp5" name="The Novell LanWorkPlace page"> - - - - - - - - End of Original - - - - - - - - - --> <!-- URI 表記が無効なので修正ついでにアクセスしてみたら、ファイルが ありませんでした。(松田) --> <item><url url="ftp://ftp.novell.com/pub/updates/unixconn/lwp5" name="The Novell LanWorkPlace page"> から tcpip16.exe をダウンロードします。 【訳注: 上記 URI は無効です。 また、 tcpip16.exe は見つかりませんでした。 代わりに、 <url url="ftp://ftp.novell.com/pub/allupdates/tcp312.exe"> というのは 見つけられました。 但し、これがこの文書で記される必要なものなのかはわかりません。】 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item><verb>edit c:\nwclient\startnet.bat</verb>: (here is a copy of mine) - - - - - - - - End of Original - - - - - - - - - --> <item><verb>c:\nwclient\startnet.bat</verb> を編集します(次に示すのは、わたしのファイルの中身です)。 <verb> SET NWLANGUAGE=ENGLISH LH LSL.COM LH KTC2000.COM LH IPXODI.COM LH tcpip LH VLM.EXE F: </verb> <p> <!-- - - - - - - Start of Original - - - - - - - - - <item><verb>edit c:\nwclient\net.cfg</verb>: (change link driver to yours i.e. NE2000) - - - - - - - - End of Original - - - - - - - - - --> <item><verb>c:\nwclient\net.cfg</verb> を編集します(「Link Driver」の部分は、お使いのドライバ、たとえば、NE2000 というような値に変更してください)。 <verb> Link Driver KTC2000 Protocol IPX 0 ETHERNET_802.3 Frame ETHERNET_802.3 Frame Ethernet_II FRAME Ethernet_802.2 NetWare DOS Requester FIRST NETWORK DRIVE = F USE DEFAULTS = OFF VLM = CONN.VLM VLM = IPXNCP.VLM VLM = TRAN.VLM VLM = SECURITY.VLM VLM = NDS.VLM VLM = BIND.VLM VLM = NWP.VLM VLM = FIO.VLM VLM = GENERAL.VLM VLM = REDIR.VLM VLM = PRINT.VLM VLM = NETX.VLM Link Support Buffers 8 1500 MemPool 4096 Protocol TCPIP PATH SCRIPT C:\NET\SCRIPT PATH PROFILE C:\NET\PROFILE PATH LWP_CFG C:\NET\HSTACC PATH TCP_CFG C:\NET\TCP ip_address 192.168.0.xxx ip_router 192.168.0.1 </verb> <!-- - - - - - - Start of Original - - - - - - - - - <verb> Change the IP address in the above "ip_address" field (192.168.0.x, 1 < x < 255) and finally create c:\bin\resolv.cfg: SEARCH DNS HOSTS SEQUENTIAL NAMESERVER xxx.xxx.xxx.xxx NAMESERVER yyy.yyy.yyy.yyy </verb> - - - - - - - - End of Original - - - - - - - - - --> <verb> 上記の「ip_address」フィールドの IP アドレスを変更して(192.168.0.x、1 < x < 255)、 c:\bin\resolv.cfg を完成させます - SEARCH DNS HOSTS SEQUENTIAL NAMESERVER xxx.xxx.xxx.xxx NAMESERVER yyy.yyy.yyy.yyy </verb> <!-- - - - - - - Start of Original - - - - - - - - - <item>Now edit the above "NAMESERVER" entries and replace them with the correct IP addresses for your local DNS server. - - - - - - - - End of Original - - - - - - - - - --> <item>次に、上記の「NAMESERVER」エントリを編集して、ローカル DNS サーバの正しい IP アドレスに書き換えます。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Issue a <tt/ping/ command: <tt>ping 192.168.0.1</tt> to test the connection to your gateway machine. &nl;(This is only an INTERNAL LAN connection test, you can't <tt/ping/ the outside world yet.) If you don't see "replies" to your PINGs, please verify your network configuration. - - - - - - - - End of Original - - - - - - - - - --> <item>ゲートウェイマシンへの接続をテストする為に、次に記す <tt/ping/ コマンドを発行します - <tt>ping 192.168.0.1</tt> &nl;(まだ LAN の接続をテストしているだけなので、LAN の外部へ <tt>ping</tt> は打てません)。 <tt/ping/ に「応答」がない場合にはネットワークの設定を確認してください。<p> </enum> <!-- - - - - - - Start of Original - - - - - - - - - <sect1> Configuring OS/2 Warp - - - - - - - - End of Original - - - - - - - - - --> <sect1> OS/2 Warp での設定 <p> <enum> <!-- - - - - - - Start of Original - - - - - - - - - <item>If you haven't installed the appropriate driver software for your Ethernet adapter, do so now. Description of this is beyond the scope of this document. - - - - - - - - End of Original - - - - - - - - - --> <item>あらかじめ Ethernet アダプタに適切なドライバをインストールしておきます。インストールの手順については、ネットワークカードの説明書を参照してください。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Install the TCP/IP protocol if you don't have it already. - - - - - - - - End of Original - - - - - - - - - --> <item>まだ TCP/IP プロトコルをインストールしていない場合には、インストールします。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Go to <em>Programs/TCP/IP (LAN) / TCP/IP</em> Settings - - - - - - - - End of Original - - - - - - - - - --> <item><em>「プログラム/TCP/IP (LAN) / TCP/IP」</em> の設定を開きます。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>In <em>'Network'</em> add your TCP/IP Address (192.168.0.x) and set your netmask (255.255.255.0) - - - - - - - - End of Original - - - - - - - - - --> <item><em>「ネットワーク」</em>で TCP/IP アドレス(192.168.0.x)を追加し、ネットマスク(255.255.255.0)を設定します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Under <em>'Routing'</em> press <em>'Add'</em>. Set the <em>Type</em> to <em>'default'</em> and type the IP Address of your Linux Box in the Field <em>'Router Address'</em>. (192.168.0.1). - - - - - - - - End of Original - - - - - - - - - --> <item><em>「ルーティング」</em>で<em>「追加」</em>をクリックします。<em>「タイプ」</em>を<em>「デフォルト(default)」</em>に設定し、<em>「ルータのアドレス(Router Address)」</em>フィールドに Linux マシンの IP アドレス(192.168.0.1)をタイプします。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Set the same DNS (Nameserver) Address that your Linux host uses in <em>'Hosts'</em>. - - - - - - - - End of Original - - - - - - - - - --> <item><em>「Hosts」</em>の欄には、Linux ホストで使用している DNS (ネームサーバ)のアドレスと同じアドレスを入力します。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Close the TCP/IP control panel. Say yes to the following question(s). - - - - - - - - End of Original - - - - - - - - - --> <item>「TCP/IP コントロールパネル」を閉じます。そのあとに現れる質問には、すべて yes と答えていきます。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>Reboot your system - - - - - - - - End of Original - - - - - - - - - --> <item>システムをリブートします。 <p> <!-- - - - - - - Start of Original - - - - - - - - - <item>You may ping the Linux box to test the network configuration. Type <tt>'ping 192.168.0.1'</tt> in a 'OS/2 Command prompt Window'. When ping packets are received all is ok. - - - - - - - - End of Original - - - - - - - - - --> <item>Linux マシンに ping し、ネットワークの設定をテストします。 「OS/2 コマンドプロンプトウィンドウ」で <tt>ping 192.168.0.1</tt> と 入力します。 ping パケットが受信されれば、すべて OK です。 </enum> <!-- - - - - - - Start of Original - - - - - - - - - <sect1>Configuring OS/400 on a IBM AS/400 - - - - - - - - End of Original - - - - - - - - - --> <sect1>IBM AS/400 で稼働する OS/400 での設定 <p> <!-- - - - - - - Start of Original - - - - - - - - - The description of how to configure TCP/IP on OS/400 version V4R1M0 running on a AS/400 is beyond the scope of this document. - - - - - - - - End of Original - - - - - - - - - --> このドキュメントでは、AS/400 で稼働する OS/400(バージョン V4R1M0)での TCP/IP の設定方法については言及しません。 <!-- - - - - - - Start of Original - - - - - - - - - 1) To perform any communications configuration tasks on your AS/400, you must have the special authority of *IOSYSCFG (I/O System Configuration) defined in your user profile. You can check the characteristics of your user profile with the DSPUSRPRF command. - - - - - - - - End of Original - - - - - - - - - --> 1) AS/400 で通信設定作業を行うには、ユーザプロファイルに *IOSYSCFG (I/O System Configuration) という特別な権限が定義されていなければなりません。ユーザプロファイルの設定内容は、DSPUSRPRF コマンドによってチェックできます。 <!-- - - - - - - Start of Original - - - - - - - - - 2) Type GO CFGTCP command th reach the Configure TCP/IP menu. - - - - - - - - End of Original - - - - - - - - - --> 2) GO CFGTCP コマンドをタイプして、「TCP/IP の設定」メニューを呼び出します。 <!-- - - - - - - Start of Original - - - - - - - - - 3) Select Option 2 - Work with TCP/IP Routes. - - - - - - - - End of Original - - - - - - - - - --> 3) 「オプション2(Option 2)」の「TCP/IP ルートの設定(Work with TCP/IP Routes)」を選択します。 <!-- - - - - - - Start of Original - - - - - - - - - 4) Enter a 1 on the Opt field to add a route. * In Route Destination type *DFTROUTE * In Subnet Mask type *NONE * In Type of Service type *NORMAL * In Nex Hop type the address of your gataway (the Linux box) - - - - - - - - End of Original - - - - - - - - - --> 4) 「Opt」フィールドに 1 と入力してルートを追加します。 * 「ルート先(Route Destination)」には、*DFTROUTE とタイプします。 * 「サブネットマスク(Subnet Mask)」には、*NONE とタイプします。 * 「サービスのタイプ(Type of Service)」には、*NORMAL とタイプします。 * 「次ホップ(Nex Hop)」には、ゲートウェイ(Linux マシン)のアドレスをタイプします。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- - - - - - - Start of Original - - - - - - - - - <sect1> Configuring Other Systems - - - - - - - - End of Original - - - - - - - - - --> <sect1> その他のシステムでの設定 <p> <!-- - - - - - - Start of Original - - - - - - - - - The same logic should apply to setting up other platforms. Consult the sections above. If you're interested in writing about any of systems that have not been covered yet, please send a detail setup instruction to <htmlurl url="mailto:ambrose@writeme.com" name="ambrose@writeme.com"> and <htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net">. - - - - - - - - End of Original - - - - - - - - - --> 他のプラットフォームでも、大体同じような流れで設定が行えるはずです。上記の各セクションを読み返して設定の流れを把握してください。ここで言及できなかったシステムでの設定方法を書いてみようと思う方は、詳細な設定手順を <htmlurl url="mailto:ambrose@writeme.com" name="ambrose@writeme.com"> 及び <htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net"> までお送りください。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- 4章ここまで 翻訳: 四亭 この章の翻訳は、水原氏のすぐれた旧訳に基づくものです。 松田、水原、かねこ、山口の各氏に校正していただきました。 ここに謝意を表します。 --> <!-- Section 5 --> <!-- <sect> Testing IP Masquerade --> <sect> IP マスカレードのテスト <label id="Testing"> <p> <!-- <p> <label id="Testing"> 文書内ジャンプの為にタグの順序を逆にしました。(松田) --> <!-- Finally, it's time to give IP Masquerading an official try after all this hard work. If you haven't already rebooted your Linux box, do so to make sure the machines boots ok, executes the /etc/rc.d/rc.firewall ruleset, etc. Next, make sure that both the internal LAN connection and connection of your Linux hosts to the Internet is okay. --> さて難しい作業もやっと終わり、いよいよ IP マスカレードの本格的なテストをする時が来ました。まだであれば Linux ボックスを再起動して /etc/rc.d/rc.firewall が正常に実行されることを確認しましょう。その確認が終ったら次は内部 LAN の接続と、Linux ホストからインターネットへの接続のどちらも正しく動作していることを確認してください。 <p> <!-- Follow these -10- tests to make sure all aspects of your MASQ setup is running properly: --> マスカレードの設定が全て正しく行われていることを確認するために、以下の 10 ステップのテストを行ってください。 <p> <!-- <sect1>Testing local PC connectivity --> <sect1>ローカル PC の接続テスト <p> <itemize> <p> <!-- <item><bf>Step One: Testing local PC connectivity</bf> --> <item><bf>ステップ 1 - ローカル PC の接続テスト</bf> <p> <!-- From an internal MASQed computer, try pinging its local IP address (i.e. <em>ping 192.168.0.10 </em>). This will verify that TCP/IP is correctly working on the local machine. Almost ALL modern operating systems have built-in support for the "ping" command. If this ping doesn't work, make sure that TCP/IP is correctly configured on the MASQed PC as described earlier in <ref id="Configuring-clients"> section of this HOWTO. The output should look something like the following (hit Control-C to abort the ping): --> マスカレードされているネットワークの内部のコンピュータで、自分の ローカル IP アドレスに ping を打ってください (つまり <em>ping 192.168.0.10 </em>)。 このテストは TCP/IP がローカルの PC で正しく動作していることを 確認します。 最近のほとんどのオペレーティングシステムには最初からping コマンドが あります。 ローカルの IP アドレスへの ping が正常に動作しない場合、この HOWTO で 前述の <ref id="Configuring-clients" name="クライアントの設定"> で説明した通りに クライアント PC 上で TCP/IP が正しく設定されているかを確かめてください。 出力結果は以下のようになるはずです(ping を中止するには Control-C を 押してください)。 <!-- 「下さい」と「ください」が混在していましたので、これを「ください」に 統一しました。(松田) --> <code> masq-client# ping 192.168.0.10 PING 192.168.0.10 (192.168.0.10): 56 data bytes 64 bytes from 192.168.0.10: icmp_seq=0 ttl=255 time=0.8 ms 64 bytes from 192.168.0.10: icmp_seq=1 ttl=255 time=0.4 ms 64 bytes from 192.168.0.10: icmp_seq=2 ttl=255 time=0.4 ms 64 bytes from 192.168.0.10: icmp_seq=3 ttl=255 time=0.5 ms --- 192.168.0.10 ping statistics --- 4 packets transmitted, 4 packets received, 0% packet loss round-trip min/avg/max = 0.4/0.5/0.8 ms </code> </itemize> <p> <!-- Testing internal Linux connectivity --> <sect1> Linux の内部接続のテスト <p> <itemize> <p> <!-- <item><bf>Step Two: Testing internal Linux connectivity</bf> --> <item><bf>ステップ 2 - Linux の内部接続のテスト</bf> <p> <!-- On the MASQ server itself, ping then internal IP address of the MASQ server's network interface card (i.e. <em>ping 192.168.0.1</em>). The output should look something like the following (hit Control-C to abort the ping): --> マスカレードサーバで、ネットワークインターフェースカードの 内部 IP アドレスに ping を打ってください (つまり <em>ping 192.168.0.1</em>)。 出力結果は以下のようになるはずです(ping を中止するには Control-C を押してください)。 <code> masq-client# ping 192.168.0.1 PING 192.168.0.1 (192.168.0.1): 56 data bytes 64 bytes from 192.168.0.1: icmp_seq=0 ttl=255 time=0.8 ms 64 bytes from 192.168.0.1: icmp_seq=1 ttl=255 time=0.4 ms 64 bytes from 192.168.0.1: icmp_seq=2 ttl=255 time=0.4 ms 64 bytes from 192.168.0.1: icmp_seq=3 ttl=255 time=0.5 ms --- 192.168.0.1 ping statistics --- 4 packets transmitted, 4 packets received, 0% packet loss round-trip min/avg/max = 0.4/0.5/0.8 ms </code> </itemize> <!-- <sect1>Testing External Linux connectivity --> <sect1>Linux の外部接続のテスト <p> <itemize> <p> <!-- <item><bf>Step Three: Testing External Linux connectivity</bf> --> <item><bf>ステップ 3 - Linux の外部接続のテスト</bf> <p> <!-- Next ping the external IP address of the MASQ server's network interface card connected to the Internet. This address might be from a PPP, Ethernet, etc connection to your ISP. If you don't know what this IP address is, run the Linux command <em>"/sbin/ifconfig"</em> on the MASQ server itself to get the Internet address. The output should look something like the following (we are looking for the IP address of eth0): --> 次に、マスカレード・サーバのインターネットに接続された ネットワークインターフェースカードの外部 IPアドレスに ping を 打ってください。 このアドレスは PPP、イーサネット等で ISP に接続されたアドレスです。 この IP アドレスがわからなければ、インターネット・アドレスを 調べるためにマスカレード・サーバ上でLinuxコマンド <em>"/sbin/ifconfig"</em> を実行してください。 出力結果は以下のようになるはずです(eth0 の IP アドレスを調べている場合)。 <code> eth0 Link encap:Ethernet HWaddr 00:08:C7:A4:CC:5B inet addr:12.13.14.15 Bcast:64.220.150.255 Mask:255.255.255.0 UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:6108459 errors:0 dropped:0 overruns:0 frame:0 TX packets:5422798 errors:8 dropped:0 overruns:0 carrier:8 collisions:4675 txqueuelen:100 Interrupt:11 Base address:0xfcf0 </code> <!-- As you can see from the above, the external IP address is "12.13.14.15" for this example. So, now that you have your IP address after running the "ipconfig" command, ping your external IP address. This will confirm that the MASQ server has full network connectivity. The output should look something like the following (hit Control-C to abort the ping): --> ご覧の通り、この例において外部 IP アドレスは "12.13.14.15" です。 "ifconfig" コマンドを実行することで IP アドレスがわかったので、この 外部 IP アドレスに ping を打ちます。 これはマスカレード・サーバが確かにネットワークに接続していることを 確かめることになります。 出力結果は以下のようになるはずです (ping を中止するには Control-C を 押してください)。 <code> masq-server# ping 12.13.14.15 PING 12.13.14.15 (12.13.14.15): 56 data bytes 64 bytes from 12.13.14.15: icmp_seq=0 ttl=255 time=0.8 ms 64 bytes from 12.13.14.15: icmp_seq=1 ttl=255 time=0.4 ms 64 bytes from 12.13.14.15: icmp_seq=2 ttl=255 time=0.4 ms 64 bytes from 12.13.14.15: icmp_seq=3 ttl=255 time=0.5 ms --- 12.13.14.15 ping statistics --- 4 packets transmitted, 4 packets received, 0% packet loss round-trip min/avg/max = 0.4/0.5/0.8 ms </code> <!-- If either of these tests doesn't work, you need to go back and double check your network cabling, and verify that the two NICs in the MASQ server are seen in "dmesg". An example of this output would be the following towards the END of the "dmesg" command: --> もしこれらのテストのどちらかが動作しないなら、元に戻ってネットワークの ケーブル接続を再確認し、 "dmesg" コマンドを実行したときに マスカレード・サーバの2つの NIC が表示されるか確認する必要があります。 この出力結果の例は "dmesg" コマンドの出力の最後のほうが以下のように なるでしょう - <code> . . PPP: version 2.3.7 (demand dialling) TCP compression code copyright 1989 Regents of the University of California PPP line discipline registered. 3c59x.c:v0.99H 11/17/98 Donald Becker http://cesdis.gsfc.nasa.gov/linux/drivers/ vortex.html eth0: 3Com 3c905 Boomerang 100baseTx at 0xfe80, 00:60:08:a7:4e:0e, IRQ 9 8K word-wide RAM 3:5 Rx:Tx split, autoselect/MII interface. MII transceiver found at address 24, status 786f. Enabling bus-master transmits and whole-frame receives. eth1: 3Com 3c905 Boomerang 100baseTx at 0xfd80, 00:60:97:92:69:f8, IRQ 9 8K word-wide RAM 3:5 Rx:Tx split, autoselect/MII interface. MII transceiver found at address 24, status 7849. Enabling bus-master transmits and whole-frame receives. Partition check: sda: sda1 sda2 < sda5 sda6 sda7 sda8 > sdb: . . </code> <!-- Also, don't forget to verify the NIC configurations under the Linux distro is correct, etc. per the recommendations in the beginning of this HOWTO. --> また、 お使いの Linux ディストリビューションでの NIC の設定が、この HOWTO の前のほうで推奨している通りに正しく設定されているか確認することを忘れないでください。 </itemize> <p> <!-- <sect1>Testing local PC to Linux connectivity --> <sect1>ローカル PC から Linux への接続テスト <p> <itemize> <p> <!-- <item><bf>Step Four: Testing local PC to Linux connectivity</bf> --> <item><bf>ステップ 4 - ローカル PC から Linux への接続テスト</bf> <p> <!-- On a internal MASQed computer, try pinging the IP address of the Masquerading Linux box's internal Ethernet card, (i.e. <em>ping 192.168.0.1</em>). This will prove that your internal network and routing is ok. The output should look something like the following (hit Control-C to abort the ping): --> マスカレードされているネットワーク内部のコンピュータから、マスカレードしている Linux ボックスの内部ネットワークのイーサネット・カードの IP アドレスに ping を打ちます(つまり <em>ping 192.168.0.1</em>)。これは、内部ネットワーク及びルーティングが正しいことを検証します。出力結果は以下のようになるはずです(ping を中止するには Control-C を押してください)。 <code> masq-client# ping 192.168.0.1 PING 192.168.0.1 (192.168.0.1): 56 data bytes 64 bytes from 192.168.0.1: icmp_seq=0 ttl=255 time=0.8 ms 64 bytes from 192.168.0.1: icmp_seq=1 ttl=255 time=0.4 ms 64 bytes from 192.168.0.1: icmp_seq=2 ttl=255 time=0.4 ms 64 bytes from 192.168.0.1: icmp_seq=3 ttl=255 time=0.5 ms --- 192.168.0.1 ping statistics --- 4 packets transmitted, 4 packets received, 0% packet loss round-trip min/avg/max = 0.4/0.5/0.8 ms </code> <!-- If this fails, make sure Ethernet cards of the MASQ server and the MASQed computer have "link". This is usually a LED light on either the back of each Ethernet card and also on the Ethernet hub/switch (if you are using one). If this fails, make sure that the internal MASQ machine is correctly configured as shown in the <ref id="Configuring-clients"> section. If the MASQ client is ok, double-check your network cabling, make sure you have a LINK light on both the internal MASQed computer's NIC -and- the internal NIC on the Linux box. --> もしうまくいかないのなら、マスカレード・サーバ及び クライアント・コンピュータのイーサネット・カードの "link" ランプが 点灯していることを確かめてください。 一般的には各イーサネット・カードの後部にある LED とハブやスイッチを 使用している場合はその LED が点灯します。 もし点灯していないならば、マスカレードされているネットワークの内部の コンピュータが <ref id="Configuring-clients" name="クライアントの設定"> の章で説明したように 正しく設定されていることを確かめてください。 マスカレードされているクライアントに問題が無ければ、 ネットワーク・ケーブルの配線を再確認し、マスカレードされている クライアント・コンピュータの NIC と Linux ボックスの内部 NIC の 両方の LINK ライトが点灯していることを確認してください。 </itemize> <p> <!-- <sect1>Testing internal MASQ ICMP forwarding --> <sect1>内部マスカレードの ICMP 転送のテスト <p> <itemize> <p> <!-- <item><bf>Step Five: Testing internal MASQ ICMP forwarding</bf> --> <item><bf>ステップ 5 - 内部マスカレードの ICMP 転送のテスト</bf> <p> <!-- From an internal MASQed computer, ping the IP address of the MASQ server's EXTERNAL TCP/IP address obtained in Step THREE above. This address might be your PPP, Ethernet, etc. address connected to your ISP. This ping test will prove that masquerading is working (ICMP Masquerading specifically). --> マスカレードされているネットワーク内部のコンピュータから、 上記ステップ 3 で得られたマスカレード・サーバの外部 IP アドレスに ping を打ってください。 このアドレスは PPP、イーサネット等で ISP に接続されたアドレスです。 この ping は、マスカレードが動作することをテストします(特に ICMP は マスカレードされています)。 <p> <!-- If it doesn't work, first make sure that the "Default Gateway" on the MASQed PC is pointing to the IP address on the MASQ -SERVERs- INTERNAL NIC. Also double check that the /etc/rc.d/rc.firewall script was run without any errors. Just as a test, try re-running the /etc/rc.d/rc.firewall script now to see if it runs ok. Also, though most kernels support it by default, make sure that you enabled "ICMP Masquerading" in the kernel comfiguration and "IP Forwarding" in your /etc/rc.d/rc.firewall script. --> もしうまくいかない場合、まずマスカレードされているクライアント PC の デフォルト・ゲートウェイがマスカレード・サーバの内部 NIC の IP アドレスを正しく指しているか確かめてください。 また /etc/rc.d/rc.firewall のスクリプトがエラー無しに走ることを 再確認してください。 テストのため /etc/rc.d/rc.firewall のスクリプトを再度走らせてみて、 それが走るかどうか見てください。 またほとんどのカーネルはデフォルトで有効になっていますが、 カーネル・コンフィギュレーションの中の "ICMP Masquerading" と /etc/rc.d/rc.firewall スクリプトの中の "IP Forwarding" を 有効にしていることを確かめてください。 <p> <!-- If you still can't get things to work, take a look at the output from the following commands run on the Linux MASQ server: --> それでもまだうまく動作しないなら、Linux マスカレード・サーバ上で 次のコマンドを走らせてその出力結果を見てください - <itemize> <p> <!-- <item> "<em>ifconfig</em>" : Make sure the interface for your Internet connection (be it ppp0, eth0, etc.) is UP and you have the correct IP address for the Internet connection. An example of this output is shown in STEP THREE above. --> <item> "<em>ifconfig</em>" - インターネットに接続されている インターフェース（ppp0 や eth0 など）が正しく動作していて、 正しいインターネット接続の IP アドレスが得られていることを確認します。 この出力結果の一例は上記ステップ3の中で示されています。 <p> <!-- <item> "<em>netstat -rn</em>" : Make sure your default gateway (the column one with the IP address in the Gateway column) is set. An example of this output might look like: --> <item> "<em>netstat -rn</em>" - デフォルト・ゲートウェイ (Gateway の列の中にある IP アドレスを持つ列) が設定されていることを 確認してください。 この出力結果の一例は以下のようになります。 <code> masq-server# netstat -rn Kernel IP routing table Destination Gateway Genmask Flags MSS Window irtt Iface 192.168.0.1 0.0.0.0 255.255.255.255 UH 0 16384 0 eth1 12.13.14.15 0.0.0.0 255.255.255.255 UH 0 16384 0 eth0 12.13.14.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0 192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1 127.0.0.0 0.0.0.0 255.0.0.0 U 0 16384 0 lo 0.0.0.0 12.13.14.1 0.0.0.0 UG 0 16384 0 eth0 </code> <!-- Notice that very LAST line that starts with 0.0.0.0? Notice that it has an IP address in the "Gateway" field? You should an IP address for your specific setup in that field. --> 0.0.0.0 で始まっている最後の行に注目してください。 その Gateway フィールドに IP アドレスがありますね。 そのフィールドの中に設定した IP アドレスが見えなければなりません。 <p> <!-- <item> "<em>cat /proc/sys/net/ipv4/ip_forward</em>" : Make sure it says "1" so that Linux forwarding is enabled --> <item> "<em>cat /proc/sys/net/ipv4/ip_forward</em>" - その結果が "1" になっていることを確認してください。そうなっていれば Linux のフォワーディングは有効となっています。 <p> <!-- <item>Run the command "<em>/sbin/ipchains -n -L</em>" for 2.2.x users or "<em>/sbin/ipfwadm -F -l</em>" for 2.0.x users. Specifically, look for the FORWARDing section to make sure you have MASQ enabled. An example of an IPCHAINS output might look like for users using the Simple rc.firewall ruleset: --> <item>2.2.x ユーザなら "<em>/sbin/ipchains -n -L</em>" という コマンドを、或は 2.0.x ユーザなら "<em>/sbin/ipfwadm -F -l</em>" というコマンドを実行してみてください。 特にフォワーディングの章を調べて、あなたがマスカレードを有効に しているか確認してください。 単純な rc.firewall ルールセットを使ったユーザーの場合、 IPCHAINS の 出力結果の一例は以下のようになるでしょう。 <code> . . Chain forward (policy REJECT): target prot opt source destination ports MASQ all ------ 192.168.0.0/24 0.0.0.0/0 n/a ACCEPT all ----l- 0.0.0.0/0 0.0.0.0/0 n/a . . </code> </itemize> </itemize> <p> <!-- <sect1>Testing external MASQ ICMP forwarding --> <sect1>マスカレードされた ICMP の外部転送のテスト <p> <itemize> <!-- <item><bf>Step Six: Testing external MASQ ICMP forwarding</bf> --> <item><bf>ステップ 6 - マスカレードされた ICMP の外部転送のテスト</bf> <p> <!-- From an internal MASQed computer, now ping a static TCP/IP address out on the Internet (i.e. <em>ping 152.19.254.81</em> (this is http://metalab.unc.edu - home of MetaLabs' Linux Archive). If this works, that means that ICMP Masquerading is working over the Internet. If it didn't work, again check your Internet connection. If this still doesn't work, make sure you are using the simple rc.firewall ruleset and that you have ICMP Masqurading compiled into the Linux kernel. Also, make sure that the ruleset that enable IP MASQ is pointing to the correct EXNTERNAL interface. --> マスカレードされているネットワーク内部のコンピュータから、 インターネット上の外部の固定 TCP/IP アドレスに対して ping を 打ちます(つまり <em>ping 152.19.254.81</em> これは http://metalab.unc.edu　-　MetaLabs Linux Archive の home です)。 これが動作する場合、ICMP マスカレーディングがインターネット上で 動作していることを意味します。 もしうまくいかなかった場合、再度インターネット接続をチェックしてください。 それでもまだ動作してくれない場合、単純な rc.firewall ルールセットを 使用しているか、また Linux カーネルで ICMP Masqurading を有効にして コンパイルしていることを確かめてください。 またルールセットの中で enable IP MASQ が正しい外部インターフェースを 指していることを確めてください。 </itemize> <p> <!-- <sect1>Testing MASQ functionality without DNS --> <sect1>DNS を使わないマスカレード機能のテスト <p> <itemize> <p> <!-- <item><bf>Step Seven: Testing MASQ functionality without DNS</bf> --> <item><bf>ステップ 7 - DNS を使わないマスカレード機能のテスト</bf> <p> <!-- Now try TELNETing to a remote IP address (i.e. <em>telnet 152.2.254.81</em> (metalab.unc.edu - Note that this might take a while to get a login prompt since this is a VERY busy server.) Did you get a login prompt after a while? If that worked, that means that TCP Masquerading is running ok. If not, try TELNETing to some other hosts you think will support TELNET like 198.182.196.55 (www.linux.org). If this still doesn't work, make sure you are using the simple rc.firewall ruleset for now. An example of this output might look like (hit Control-D to exit out of the TELNET): --> さて遠隔の IP アドレスへの TELNET を行ってみてください(すなわち <em>telnet 152.2.254.81</em>) (metalab.unc.edu -　このサーバーはすごく忙しいのでログインプロンプトが現れるまで時間がかかるかもしれません)。 しばらくしてログイン・プロンプトが現れましたか。 現れたなら、TCP のマスカレードはうまく動作しています。もし現れなければ、198.182.196.55 (www.linux.org) のような TELNET が使えそうな他のいくつかのホストへ TELNET をしてみてください。 これがなお働かない場合、今のところ simple rc.firewall ルールセットを使用していることを確かめてください。この出力結果の一例は以下のようになるでしょう(TELNET から抜けるには Control-D を押してください)。 <code> masq-client# telnet 152.2.254.81 Trying 152.2.254.81... Connected to 152.2.254.81. Escape character is '^]'. SunOS 5.7 ******************** Welcome to MetaLab.unc.edu ******************* To login to MetaLab as a user, connect to login.metalab.unc.edu. This machine allows no public telnet logins. login: Connection closed by foreign host. </code> </itemize> <p> <!-- <sect1>Testing MASQ functionality with DNS --> <sect1>DNS を使ったマスカレード機能のテスト <p> <itemize> <!-- <item><bf>Step Eight: Testing MASQ functionality with DNS</bf> --> <item><bf>ステップ 8 - DNS を使った MASQ 機能のテスト</bf> <p> <!-- Now try TELNETing to a remote HOSTNAME (i.e. <em>"telnet metalab.unc.edu"</em> (152.2.254.81). If this works, this means that DNS is working fine as well. If this didn't work but step SIX did work, make sure that you have valid DNS servers configured on your MASQed computer as shown in the <ref id="Configuring-clients"> section. --> それでは、遠隔の HOSTNAME への TELNET を試みてください (例えば、 <em>"telnet metalab.unc.edu"</em> (152.2.254.81))。 これが動作するなら、DNS もうまく動作していることを意味します。 もしステップ 6 が動作したのにこれが動作しなかった場合、 マスカレードされているクライアント・コンピュータの DNS サーバ設定が <ref id="Configuring-clients" name="クライアントの設定"> の章で説明したように正しく設定されていることを確かめてください。 </itemize> <p> <!-- <sect1>Testing more MASQ functionality with DNS --> <sect1>DNS を使ったマスカレード機能の追加テスト <p> <itemize> <p> <!-- <item><bf>Step Nine: Testing more MASQ functionality with DNS</bf> --> <item><bf>ステップ 9 - DNS を使ったマスカレード機能の追加テスト</bf> <p> <!-- As a last test, try browsing some <em>'INTERNET'</em> WWW sites on one of your <bf/MASQed/ machines, and see if you can reach them. For example, access the <htmlurl url="http://metalab.unc.edu/LDP" name="Linux Documentation Project site">. If this works, you can be fairly certain that everything is working FINE! If some sites are having problems where others work just fine, see the next step for more ideas. --> 最後のテストとして、<bf>マスカレードされているクライアント・マシン</bf>の 1 つからいくつかの <em>'インターネット'</em> WWW サイトをブラウズ してみてください。 そして、それらにアクセスできるかどうか見てください。 例えば、<htmlurl url="http://metalab.unc.edu/LDP" name="Linux Documentation Project site"> へアクセスしてみてください。 もしこれができるなら、すべてがうまく動作している!と考えられます。 もし他のサイトでは問題が無いのに、いくつかのサイトに問題がある場合、 以下のステップにある解決策を見てください。 <p> <!-- If you see The Linux Documentation Project homepage, then <bf>CONGRATULATIONS! It's working!</bf> If that WWW site comes up correctly, then all other standard network tolls such as PING, TELNET, SSH, and with their related IP MASQ modules loaded: FTP, Real Audio, IRC DCCs, Quake I/II/III, CuSeeme, VDOLive, etc. should work fine! If FTP, IRC, RealAudio, Quake I/II/III, etc. aren't working or are performing poorly, make sure their associated Masquerading modules are loaded by running "lsmod" and also be sure you are loading the module with any non-default server ports. If you don't see your needed module, make sure your /etc/rc.d/rc.firewall script is loading them (i.e. remove the # character for a give IP MASQ module). --> もし、 Linux Documentation Project のホームページが見えたなら <bf>おめでとう! うまくいきましたね! </bf> もし、その WWW サイトが正しく見られるなら、 PING, TELNET, SSH や、 関連する IP マスカレード・モジュールがロードされた FTP, Real Audio, IRC DCCs, Quake I/II/III, CuSeeme, VDOLive など、他の標準的な ネットワーク接続は全てうまく動作するはずです。 もし、FTP, IRC, RealAudio, Quake I/II/III 等が動作しないか、あるいは 動作が不完全ならば、 "lsmod" を実行して、それらに必要な マスカレード・モジュールがロードされていることを確かめてください。 また、デフォルトでは組み込まれないサービスに必要なポートのモジュールを ロードしているかを確認してください。 もし必要なモジュールが見つからなければ、あなたの /etc/rc.d/rc.firewall スクリプトがそれらのモジュールをロードしている ことを確かめてください (つまり、IP マスカレード・モジュールを組み込むために # の文字を 削除します)。 </itemize> <p> <!-- <sect1>Any remaining functional, performance, etc. issues... --> <sect1>その他の機能、性能に関する事項 <p> <itemize> <!-- <item><bf>Step Ten: Any remaining functional, performance, etc. issues...</bf> --> <item><bf>ステップ 10 - その他の機能、性能に関する事項</bf> <p> <!-- If your system passes all of these tests above but things like WWW browsing, FTP, and other types of traffic aren't reliable, I recommend that you read the <ref id="MTU-issues"> FAQ entry in Section 7. There might be other items in the FAQ section that will help you as they have helped many users in the past. --> もし、あなたのシステムがこれら全てのテストに合格したのに、 WWW ブラウジングや FTP または他のタイプのトラフィックが 不安定であれば、7 章の FAQ の中にある <ref id="MTU-issues" name="MTU 問題"> を読むことをお奨めします。 FAQ の中には、いままで多くのユーザーの役に立ったように、あなた の役に立つ項目がきっとあることでしょう。 <!-- other は敢えて訳から外しました。(松田) --> </itemize> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- 5章ここまで 翻訳: 山口 校正: 後藤雅晴さん <magotou@fubyshare.gr.jp> 早川仁さん <uv9h-hykw@asahi-net.or.jp> 山口しんごさん <shingoyam@home.com> 松田陽一 <matsuda@palnet.or.jp> --> <!-- Translation Draft 1-a: 17. Apr. 2001 Masaharu Goto 中断していたものを継続。section 7 がくっついていたという大ボケあり(^^; --> <!-- Translation Draft 1: 21. Jan. 2001 Masaharu Goto 時間的余裕がなく、半分程度までしか粗訳できず。陳謝・・・ "IPMASQADM with IPPORTFW support on 2.2.x kernels" まで訳した。 不明点は"To Do"でクオートした部分に記載。 参照の整合（とくに参照先の名前）、術語の整合などは未実施 メール引用部分は口述表現で訳してある。コードに対する説明は おおむね文述表現である以外は「ですます」調口語表現。 --> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- Section 6 --> <!-- <sect> Other IP Masquerade Issues and Software Support --> <sect> IP マスカレードに関連したその他の項目とソフトウエアサポート <p> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Problems with IP Masquerade --> <sect1> IP マスカレードに関係した問題 <p> <!-- Some TCP/IP application protocols will not currently work with Linux IP Masquerading because they either assume things about port numbers or encode TCP/IP addresses and/or port numbers in their data stream. These latter protocols need specific proxies or IP MASQ modules built into the masquerading code to make them work. --> TCP/IP を使ったアプリケーションプロトコルのうちの一部には、現在の Linux の IP マスカレーディングでサポートされていないものもあります。 というのも、これらは暗黙のうちに特定のポート番号を使っていたり、 あるいはそれらのデータストリーム中に、 TCP/IP アドレスやポート番号を 暗号化して仕込んでいたりするからです。 後者のプロトコルを動かすためには特別なプロキシか IP MASQ モジュール をマスカレーディングのコードに仕込む必要があります。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Incoming services --> <sect1> 外部から入ってくるサービス <p> <!-- By default, Linux IP Masquerading cannot handle incoming services at all but there are a few ways of allowing them. --> デフォルトではいくつかの例外をのぞいて、Linux IP マスカレーディングでは外部から入ってくる サービスを取り扱うことができません。 <p> <!-- If you do not require high levels of security then you can simply forward or redirect IP ports. There are various ways of doing this though the most stable method is to use IPPORTFW. For more information, please see the <ref id="Forwarders"> section. --> もし、高いレベルでセキュリティを確保する必要がないなら、単純に IP とポートをフォワードなり リダイレクトすればすむでしょう。やり方はたくさんありますが、最も安定しているのは IPPORTFW を使ったやりかたでしょう。詳細は、 <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> の章を参照してください。 <p> <!-- If you wish to have some level of authorization on incoming connections then you will need to either configure TCP-wrappers or Xinetd to then allow only specific IP addresses through. The TIS Firewall Toolkit is a good place to look for tools and information. --> もし、外部から入ってくる接続に何らかの認証を設定したいなら、TCP-wrapper か Xinetd を 設定して特定の IP アドレスからのみの接続を許すことができます。TIS Firewall Toolkit は ツールや情報を入手するのによい場所でしょう。 <p> <!-- More details on incoming security can be found in the <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS"> document and at <url url="http://ipmasq.cjb.net" name="IP Masquerade Resource">. --> より詳細なセキュリティ情報については、<url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS"> と <htmlurl url="http://ipmasq.cjb.net/" name="IP マスカレードの情報源"> から見つけることができます。 <p> <label id="Supported Client Software"> <p> <p> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Supported Client Software and Other Setup Notes --> <sect1> サポートしているクライアントソフトウエアとその他の設定情報 <label id="Clients"> <p> <!-- <p> <label id="Clients"> 文書内ジャンプの為にタグの順序を逆にしました。(松田) --> <!-- <quote><bf>** The <url url="http://www.tsmservices.com/masq" name="Linux Masquerade Application list"> has a lot of good information regarding applications that work through Linux IP masquerading. This site was recently taken over by Steve Grevemeyer who implimented it with a full database backend. Its a great resource! </bf></quote> --> <quote><bf>**<url url="http://www.tsmservices.com/masq" name="Linux Masquerade Application list"> には、アプリケーションをLinux の IP マスカレーディングを 通じて動かすための多くの情報が掲載されています。このサイトは最近になって、Steve Srevemeyer によってデータベースバックエンドで動作するように書き改められました。素晴らしい情報源です！ </bf></quote> <p> <!-- Generally, any application that uses standard TCP and UDP should work. If you have any suggestion, hints, etc., please see the <url url="http://ipmasq.cjb.net/" name="IP Masquerade Resource"> for more details. --> 一般的に、標準的な TCP 及び UDP を使ったアプリケーションであれば 動作します。 もし、ヒントやアドバイス等があるなら、詳細については <url url="http://ipmasq.cjb.net/" name="IP マスカレードの情報源"> を参照してください。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect2> Network Clients that -Work- with IP Masquerade --> <sect2> IP マスカレードで動作するネットワーククライアント <p> <!-- General Clients: --> 一般的なクライアント - <p> <descrip> <!-- <tag>Archie</tag>all supported platforms, file searching client (not all archie clients are supported) --> <tag>Archie</tag>IP マスカレードがサポート済みの全てのプラットフォーム で動作する、ファイル探索クライアント (但し、全ての archie クライアント が動作するわけではない)。 <p> <!-- <tag>FTP</tag>all supported platforms, with the <em>ip_masq_ftp.o</em> kernel module for active FTP connections. --> <!-- To Do: NAT環境の一部ではip_masq_ftpは動かない事が確認されている(marked forward併用時)--> <tag>FTP</tag>FTP 接続については、<em>ip_masq_ftp.o</em> カーネルモジュールを使うことで、全てのサポート済みプラットフォーム上で 動作する。 【訳注: NAT 環境の一部 (marked forward 併用時) では、 ip_masq_ftp が 動作しないことが確認されています。 ftp クライアントをパッシブ (PASV) モードで起動すれば、 ip_masq_ftp.o が なくても大概の ftp サーバへの接続が可能です。 PASV モードの詳細については、例えば <url url="http://www.rtpro.yamaha.co.jp/RT/FAQ/TCPIP/ftp-passive-mode.html"> 辺りが参考になるかと思います。】 <p> <!-- <tag>Gopher client</tag>all supported platforms --> <tag>Gopher クライアント</tag>全てのサポート済みプラットフォームで動作する。 <p> <!-- <tag>HTTP</tag>all supported platforms, WWW surfing --> <tag>HTTP</tag>全てのサポート済みプラットフォームで動作する、Webサーフィン。 <p> <!-- <tag>IRC</tag>all IRC clients on various supported platforms, DCC is supported via the <em>ip_masq_irc.o</em> module --> <tag>IRC</tag>種々のサポート済みプラットフォームで動作する。 なお、 DCC は <em>ip_masq_irc.o</em> モジュールを導入すれば動作する。 【訳注: DCC については、 <ref id="rc.firewall-2.2.x" name="Linux 2.2.x カーネル"> の訳注を参照してください。】 <p> <!-- <tag>NNTP (USENET)</tag>all supported platforms, USENET news client --> <tag>NNTP (USENET)</tag>全てのサポート済みプラットフォームで動作する、 USENET ニュースクライアント。 <p> <!-- <tag>PING</tag>all platforms, with ICMP Masquerading kernel option --> <tag>PING</tag>カーネルオプションの ICMP マスカレードを有効にすることで、 全てのプラットフォーム上で動作する。 <p> <!-- <tag>POP3</tag>all supported platforms, email clients --> <tag>POP3</tag>すべてのプラットフォームで動作する、電子メールクライアント <p> <!-- <tag>SSH</tag>all supported platforms, Secure TELNET/FTP clients --> <tag>SSH</tag>全てのサポート済みプラットフォームで動作する、 安全な TELNET/FTP クライアント。 <p> <!-- <tag>SMTP</tag>all supported platforms, email servers like Sendmail, Qmail, PostFix, etc. --> <tag>SMTP</tag>全てのサポート済みプラットフォームで動作する、 sendmail, qmail, PostFix 等のメールサーバ。 <!-- 訳覚え書き: 　qmailは Qmailと記してはいけない:P --> <p> <!-- <tag>TELNET</tag>all supported platforms, remote session --> <tag>TELNET</tag>全てのサポート済みプラットフォームで動作する、 リモートセッション。 <p> <!-- <tag>TRACEROUTE</tag>UNIX and Windows based platforms , some variations may not work --> <tag>TRACEROUTE</tag>UNIX と Windows プラットフォームで提供されているが、 いくつかの亜種は動かないかもしれない。 <p> <!-- <tag>VRML</tag>Windows(possibly all supported platforms), virtual reality surfing --> <tag>VRML</tag>Windows (あるいはこれ以外のサポート済みプラットフォーム) にて動作する、「バーチャル・リアリティ【訳注: 仮想現実】」技術による Web サーフィン。 <p> <!-- <tag>WAIS client</tag>all supported platforms --> <tag>WAIS クライアント</tag>全てのサポート済みプラットフォームで動作する。 </descrip> <!-- <p>Multimedia and Communication Clients: --> <p>マルチメディア 及び 通信クライアント - <p> <descrip> <!-- <tag/All H.323 programs/ - MS Netmeeting, Intel Internet Phone Beta , and other H.323 applications - There are now two solutions to get this to work through IPMASQed connections: --> <tag/全ての H.323 プログラム/ - MS Netmeeting, Intel Internet Phone Beta 及びその他の H.323 アプリケーション - これらについては、 IP マスカレードを 経由した接続で動かすための方法が今のところ２つ存在します - <p> <!-- There is a stable BETA module available on the <htmlurl url="http://ipmasq.cjb.net" name="MASQ WWW site"> or at <url url="http://www.coritel.it/projects/sofia/nat.html" name="http://www.coritel.it/projects/sofia/nat.html"> to work with Microsoft Netmeeting v3.x code on 2.2.x kernels. There is also another module version on the MASQ WWW site specifically for Netmeeting 2.x with 2.0.x kernels but it doesn't support Netmeeting v3.x. --> 2.2.x カーネルで Microsoft Netmeeting v3.xを動かすための安定して動作するベータ版モジュールが <htmlurl url="http://ipmasq.cjb.net/" name="IP マスカレードの情報源"> または <url url="http://www.coritel.it/projects/sofia/nat.html" name="http://www.coritel.it/projects/sofia/nat.html"> にあります。これらはまた別なバージョン として、Netmeeting 2.x を 2.0.x カーネルで動かすためのモジュールが先の MASQ WWW サイトにありますが これは Netmeeting v3.x はサポートしていません。 <p> <!-- Another commercial solution is the <url url="http://www.equival.com.au/phonepatch/index.html" name="Equivalence's PhonePatch"> H.323 gateway. --> 商用ソフトによる別の解決方法としては、 <url url="http://www.equival.com.au/phonepatch/index.html" name="Equivalence の PhonePatch"> による H.323 ゲートウェイがあります。 <p> <!-- <tag/Alpha Worlds/Windows, Client-Server 3D chat program --> <tag/Alpha Worlds/Windows で動作する クライアント・サーバ方式の 3D チャットプログラム <p> <!-- <tag/CU-SeeMe/all supported platforms, with the <em>ip_masq_cuseeme</em> module loaded, please see the <ref id="CuSeeme"> section for more details. --> <tag/CU-SeeMe/ 全てのサポート済みプラットフォームで動作しますが、 <em>ip_masq_cuseeme</em> を組み込むことが必要です。 詳細については <ref id="CuSeeme"> の章を参照してください。 <p> <!-- <tag/ICQ/all supported clients. Requires the Linux kernel to be compiled with IPPORTFW support and ICQ is configured to be behind a NON-SOCKS proxy. A full description of this configuration is in the <ref id="ICQ"> section. --> <tag/ICQ/ 提供されたすべてのプラットフォームで動作。 Linux カーネルを IPPORTFW サポートを有効にしてコンパイルし、 ICQ 自身は 非 SOCKS プロキシの内部で動作するように設定しなければなりません。 設定の全詳細については <ref id="ICQ"> の章を参照してください。 <p> <!-- <tag/Internet Phone 3.2/Windows, Peer-to-peer audio communications, people can reach you only if you initiate the call, but people cannot call you without a specific port forwarding setup. See the <ref id="Forwarders"> section for more details. --> <tag/Internet Phone 3.2/Windows で動作する ピア・ツー・ピアの音声による 通信を可能とするものです。 あなたの側から相手を呼び出せば通話ができますが、他の方があなたを呼び出すには 特定のポートに対する転送を設定しなければなりません。 詳細については <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> の章を参照してください。 <p> <!-- <tag/Internet Wave Player/Windows, network streaming audio --> <tag/Internet Wave Player/Windows で動作する、ネットワーク・ストリーム・オーディオ・プログラム <p> <!-- <tag/Powwow/Windows, Peer-to-peer Text audio whiteboard communications, people can reach you only if you initiate the call, but people cannot call you without a specific port forwarding setup. See the <ref id="Forwarders"> se ction for more details. --> <tag/Powwow/Windows で動作する、ピア・ツー・ピアタイプの文字と音声を 併用できる「ホワイトボード」通信プログラムです。 あなたの側から相手を呼び出せば通話ができますが、他の方があなたを呼び出すには 特定のポートに対する転送を設定しなければなりません。 詳細については <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> の章を参照してください。 <p> <!-- <tag/Real Audio Player/Windows, network streaming audio, higher quality available with the <em>ip_masq_raudio</em> UDP module --> <tag/Real Audio Player/Windows で動作する、ネットワーク・ストリーミング・ オーディオ・プログラムです。 <em>ip_masq_raudio</em> UDP モジュールを使えば、高品位の再生が可能です。 <p> <!-- <tag/True Speech Player 1.1b/Windows, network streaming audio --> <tag/True Speech Player 1.1b/Windows で動作するストリーミング・オーディオ・プログラムです。 <p> <!-- <tag/VDOLive/Windows, with the <em>ip_masq_vdolive</em> patch --> <!-- To Do: ip_masq_vdolive　は明らかにパッチではなくてモジュールのはず --> <tag/VDOLive/Windows で動作します。 <em>ip_masq_vdolive</em> モジュールを使えば可能です。 【訳注: 原文は ip_masq_vdolive patch となっていますが、実際は モジュールです。】 <p> <!-- <tag/Worlds Chat 0.9a/Windows, Client-Server 3D chat program --> <tag/Worlds Chat 0.9a/Windows で動作する、クライアント・サーバ方式の 3D チャットプログラムです。 </descrip> <label id="Game-Clients"> <p> <!-- Games - See the <ref id="LooseUDP"> section for more details on the LooseUDP patch --> ネットワーク対応ゲームの類 - LooseUDP パッチについての詳細は <ref id="LooseUDP"> の章を参照してください。 <p> <descrip> <!-- <tag>Battle.net</tag> Works but requires TCP ports 116 and 118 and UDP port 6112 IPPORTFWed to the game machine. See the <ref id="Forwarders"> section for more details. Please note that FSGS and Bnetd servers still require IPPORTFW since they haven't been re-written to be NAT-friendly. --> <tag>Battle.net</tag> ゲームマシンに対して、 TCP ポート 116 と 118、 更に UDP ポート 6112 を IPPORTFW にて有効にすることで動作します。 詳細は <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> の章を参照してください。 FSGS と Bnetd サーバはまだ NAT 環境でうまく動くように書き直されて いませんので、 IPPORTFW が必要となることに注意してください。 <!-- To Do: FSGS 及び Bnetdとは何かまだ調べていない --> 【訳注: FSGS (Free Standard Game Server) は、ブリザード社製の ゲームソフトをネットワーク対戦時に使用する battle.net を主催する サーバソフトウェアです。 詳細は、 <url url="http://www.fsgs.com/" name="Net-Games ...are you ready to play?"> 及び <url url="http://b-ring.acc.ne.jp/" name="B-Ring"> を参照してください。 なお、訳者が確認した限りでは、 B-Ring web サイトのトップページに アクセスするには、 ipchains で tcp ポート 11000 番を REJECT に 設定しなければなりませんでした。 bnetd は、 Starcraft Battle.net server のエミュレータで、 GPL に従ったソースが自由に入手できるだけでなく、 Linux, Irix の バイナリも配布されています。 詳細は、 <url url="http://www.bnetd.org/"> 等を参照してください。】 <p> <!-- <tag>BattleZone 1.4</tag> Works with LooseUDP patch and new NAT-friendly <htmlurl url="http://us4.alink.activision.com/tmp/nat/" name=".DLLs from Activision"> --> <tag>BattleZone 1.4</tag> LooseUDP パッチ及び NAT 環境でもうまく動く <htmlurl url="http://us4.alink.activision.com/tmp/nat/" name=".DLLs from Activision"> が必要です。 <p> <!-- <tag>Dark Reign 1.4</tag> Works with LooseUDP patch or requires TCP ports 116 and 118 and UDP port 6112 IPPORTFWed to the game machine. See the <ref id="Forwarders"> section for more details. --> <tag>Dark Reign 1.4</tag> LooseUDP パッチを適用するか、または ゲームマシンに対してTCP ポート 116と118 、更に UDP ポート 6112 に 対して IPPORTFW を有効にすることが必要です。 詳細については <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> を参照してください。 <p> <!-- <tag>Diablo</tag> Works with LooseUDP patch or requires TCP ports 116 and 118 and UDP port 6112 IPPORTFWed to the game machine. Newer versions of Diablo use only TCP port 6112 and UDP port 6112. See the <ref id="Forwarders"> section for more details. --> <tag>Diablo</tag> LooseUDP パッチまたは ゲームマシンに対して TCP ポート 116と118、更に UDP ポート 6112 に対して IPPORTFW を 有効にすることが必要です。 新しいバージョンでは TCP ポート 6112 と UDP ポート 6112 だけが 使われています。 詳細については、 <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> の章を参照してください。 <p> <!-- <tag>Heavy Gear 2</tag> Works with LooseUDP patch or requires TCP ports 116 and 118 and UDP port 6112 IPPORTFWed to the game machine. See the <ref id="Forwarders"> section for more details. --> <tag>Heavy Gear 2</tag> LooseUDP パッチまたは ゲームマシンに対して TCP ポート 116と118、更に UDP ポート 6112 に対して IPPORTFW を 有効にすることが必要です。 詳細については <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> を参照してください。 <p> <!-- <tag>Quake I/II/III</tag> Works right out of the box but requires the <em>ip_masq_quake</em> module if there are more than one Quake I/II/III player behind a MASQ box. Also, this module only supports Quake I and QuakeWorld by default. If you need to support Quake II or non-default server ports, please see the module install section of the <ref id="rc.firewall-2.0.x"> and <ref id="rc.firewall-2.2.x"> rulesets. --> <tag>Quake I/II/III</tag> そのままでも動作しますが、MASQ された linux ボックスより内側のネットワークに複数の Quake I/II/III プレイヤーが 居る場合は、 <em>ip_masq_quake</em> を使うことが必要となります。 また、このモジュールはデフォルトでは Quake I と QuakeWorld をサポートする ようにしかなっていません。 もし、Quake II 以降や、あるいはデフォルトではないサーバのポート番号を使う 必要があるなら、<ref id="rc.firewall-2.0.x"> や <ref id="rc.firewall-2.2.x"> ルールセットのモジュールの組み込みの章を 参照してください。 <p> <!-- <tag>StarCraft</tag> Works with the LooseUDP patch and IPPORTFWing TCP and UDP ports 6112 to the internal MASQed game machine. See the <ref id="Forwarders"> section for more details. --> <tag>StarCraft</tag> LooseUDP パッチと 内部のゲームマシンに対する TCP と UDP ポート 6112 を IPPORTFW してやる必要があります。 詳細については、 <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> を参照してください。 <p> <!-- <tag>WorldCraft</tag> Works with LooseUDP patch --> <tag>WorldCraft</tag> LooseUDP パッチを使えば動作します。 <!-- ひとりごと: Mech Warrior 2の動かし方が知りたい・・・いまだに（笑) --> </descrip> <p> <!-- Other Clients: --> その他のクライアント - <descrip> <!-- <tag/Linux net-acct package/Linux, network administration-account package --> <tag/Linux net-acct パッケージ/Linuxで動作するネットワーク管理アカウント・パッケージ <p> <!-- <tag/NCSA Telnet 2.3.08/DOS, a suite containing telnet, ftp, ping, etc. --> <tag/NCSA Telnet 2.3.08/DOSで動作する telnet, ftp, ping などを含むソフトウエアセット <p> <!-- <tag/PC-anywhere for Windows /MS-Windows, Remotely controls a PC over TCP/IP, only work if it is a client but not a host without a specific port forwarding setup. See the <ref id="Forwarders"> section for more details. --> <tag/PC-anywhere for Windows /MS-Windows で動作する、TCP/IP プロトコルを 通じて、遠隔地にある PC を操作するためのプログラム。 クライアントではなくホストとして動作させる場合は、特別なポート・ フォワーディング設定がなければ動作しません。 詳細については、 <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> の章を参照してください。 <!-- To Do : VNC クライアント・サーバも欲しいところ --> <p> <!-- <tag/Socket Watch/uses NTP - network time protocol --> <tag/Socket Watch/NTP(ネットワーク経由の時刻制御プロトコル)をつかっている </descrip> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect2> Clients that do not have full support in IP MASQ: --> <sect2> IP マスカレードで完全にはサポートされていないもの - <p> <descrip> <!-- <tag/Intel Streaming Media Viewer Beta 1/ Cannot connect to server --> <tag/Intel Streaming Media Viewer Beta 1/ サーバに接続できない <p> <!-- <tag/Netscape CoolTalk/ Cannot connect to opposite side --> <tag/Netscape CoolTalk/ 通話相手に接続できない <p> <!-- <tag/WebPhone/ Cannot work at present (it makes invalid assumptions about addresses). --> <tag/WebPhone/ 今のところ動作していない(相手の指定方法に不適切な前提を用いている) <!-- 「アドレスに関して無効な仮定を生じさせる」…?(松田) --> </descrip> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Stronger IP Firewall (IPFWADM) Rulesets --> <sect1> より強力な IP ファイアウオール (IPFWADM) ルールセット <p> <label id="Strong-IPFWADM-Rulesets"> <!-- This section provides a more in-depth guide on using the 2.0.x firewall tool, IPFWADM. See below for IPCHAINS rulesets --> この章では、カーネル 2.0.x のファイアウォール・ツールである IPFWADM を 使う際の、より詳細なガイドを示します。 IPCHAINS のルールセットについては後述します。 <p> <!-- This example is for a firewall/masquerade system behind a PPP link with a static PPP address (dynamic PPP instructions are included but disabled). The trusted interface is 192.168.0.1 and the PPP interface IP address has been changed to protect the guilty :). I have listed each incoming and outgoing interface individually to catch IP spoofing as well as stuffed routing and/or masquerading. Anything not explicitly allowed is <bf>FORBIDDEN</bf> (well.. rejected actually). If your IP MASQ box breaks after implementing this rc.firewall script, be sure that you edited it for your configuration and check your /var/log/messages or /var/adm/messages SYSLOG file for any firewall errors. --> <!-- Guilty , stuffed routing あたりの訳は自信なし --> この例は、固定的にアドレスが与えられるような PPP 接続の背後にある ファイアウオールとマスカレードです (動的にアドレスが与えられる PPP の 使用法については、含まれてはいますが無効にしています)。 信頼できるインタフェースは 192.168.0.1 であり、 PPP インターフェースの アドレスは「悪い奴ら」から守るために変更されています。 出入りそれぞれのインタフェースはそれぞれ別にリストしていますが、これは ルーティングやマスカレードをわかりやすくする以外にIP スプーフィング 【訳注: 偽装】や、不正なルーティングを検出しやすくするためのものでも あります。 明確に許可されていないものは<bf>禁止</bf>です (実際には拒否されます)。 もし、あなたの IP マスカレード BOX が、この rc.firewall スクリプトを 入れたあとでまともに動かなくなったとしたら、 /var/log/messages あるいは /var/adm/messages にある SYSLOG ファイルに何かファイアウオール関係の エラーがないか確認して、設定が間違っていないかを確かめてください。 <p> <!-- For more comprehensive examples of a strong IP Masqueraded IPFWADM rulesets for PPP, Cablemodem users, etc., please see <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> and <htmlurl url="http://www.greatcircle.com/" name="GreatCircle's Firewall WWW page"> --> PPPやケーブルモデムなどを使った、IPFWADM によるもっと強固な IP マスカレードの実用的な例については <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> や <htmlurl url="http://www.greatcircle.com/" name="GreatCircle's Firewall WWW page"> を参照してください。 <p> <!-- <bf>NOTE:</bf> If you get a dynamically assigned TCP/IP address from your ISP (PPP, ADSL, Cablemodems, etc.), you <bf>CANNOT load</bf> this strong ruleset upon boot. You will either need to reload this firewall ruleset EVERY TIME you get a new IP address or make your /etc/rc.d/rc.firewall ruleset more intelligent. To do this for PPP users, carefully read and un-comment out the properly lines in the "Dynamic PPP IP fetch" section below. You can also find more details in the <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> doc for more details on Strong rulesets and Dynamic IP addresses. --> <!-- Draft1:bf タグ位置を若干変更 --> <bf>注意 - </bf> もし、 TCP/IP アドレスが PPP, ADSL, ケーブルモデムなどを 経由して ISP から動的に割り当てられる場合には、この強固なルールセットを <bf>起動時に設定することはできません</bf>。 このような場合には、 IP アドレスが割り当てられる度にこの ファイアウオール・ルールセットを再度読み込ませるか、あるいは /ec/rc.d/rc.firewall ルールセットをもっとインテリジェントに作る必要が あります。 PPPユーザがこのルールセットを適用する場合には、以降に示す "Dynamic PPP IP fetch" と書かれた部分のコメントを注意深く適切に 外してください。 また、強固なルールセット及び動的に割り当てられる IP アドレスについての もっと詳しい解説は、<url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - 10章"> にあります。 <p> <!-- <bf>Please also be aware that there are several GUI Firewall creation tools available as well. Please see the <ref id="FAQ"> section for full details.</bf> --> <bf>また、GUI ベースでファイアウオール設定を生成するようなツールが いくつか存在します。 詳細は、 <ref id="FAQ" name="よくある質問 (FAQ)"> の章を参照してください。</bf> <p> <!-- Lastly, if you are using a STATIC PPP IP address, change the "ppp_ip="your.static.PPP.address"" line to reflect your address. --> 最後に、もし静的に割り当てられる IP アドレスを使っているなら、以下の例の "ppp_ip="your.static.PPP.address"" となっている部分をあなたの IP アドレスに書き換えてください。 【訳注: 一般的なプロバイダ経由の PPP 接続の場合、プロバイダ側から IP アドレスが動的に割り当てられますので、殆どの個人ユーザはこの行に IP アドレスを書き入れる必要はありません。】 <!-- To Do: script内部のコメントについても訳してある --> ---------------------------------------------------------------- <label id="stronger-rc.firewall-2.0.x"> <!-- 以下では、英文との対訳を先に、訳文のまとめを後に記載しています。--> <![ %codes; CDATA [ <verb> #!/bin/sh # <!-- # /etc/rc.d/rc.firewall: An example of a semi-STRONG IPFWADM firewall ruleset --> # /etc/rc.d/rc.firewall: IPFWADM を使ったやや強固なファイアウオール・ルールセット # PATH=/sbin:/bin:/usr/sbin:/usr/bin <!-- # testing, wait a bit then clear all firewall rules. # uncomment following lines if you want the firewall to automatically # disable after 10 minutes. --> # テスト用: しばらく待機してからすべてのファイアウオールルールをクリアする。 # 10分後にすべての設定を一旦解除する必要があるなら、以下のコメントを解除してください。 # (sleep 600; \ # ipfwadm -I -f; \ # ipfwadm -I -p accept; \ # ipfwadm -O -f; \ # ipfwadm -O -p accept; \ # ipfwadm -F -f; \ # ipfwadm -F -p accept; \ # ) & <!-- # Load all required IP MASQ modules --> # 必要なすべての IP マスカレードモジュールをロードする # <!-- # NOTE: Only load the IP MASQ modules you need. All current IP MASQ modules # are shown below but are commented from loading. --> # 注意: 必要な IP マスカレードモジュールだけをロードします。すべての IP マスカレードモジュールが # 以下に記述されていますが、ロードされないようにコメントとなっています。 <!-- # Needed to initially load modules --> # モジュールを最初にロードする時にまず必要 # /sbin/depmod -a <!-- # Supports the proper masquerading of FTP file transfers using the PORT method --> # PORT 方式を使ってFTP ファイル転送における適切な IP マスカレードを提供します # /sbin/modprobe ip_masq_ftp <!-- # Supports the masquerading of RealAudio over UDP. Without this module, # RealAudio WILL function but in TCP mode. This can cause a reduction # in sound quality --> # UDP プロトコルを経由した、RealAudio のマスカレードを提供します。このモジュールがなくても # RealAudio は TCP モードで動作しますが、音質は低下します。 # #/sbin/modprobe ip_masq_raudio <!-- # Supports the masquerading of IRC DCC file transfers --> # IRC DCC ファイル転送のマスカレードを提供します # #/sbin/modprobe ip_masq_irc <!-- # Supports the masquerading of Quake and QuakeWorld by default. This modules is # for for multiple users behind the Linux MASQ server. If you are going to # play Quake I, II, and III, use the second example. --> # 以下の指定によって Quake と QuakeWorld をデフォルトで提供します。 # このモジュールは Linux の マスカレードサーバから内側のユーザが # 複数存在する場合のためのものです。 # もし、Quake I, II, あるいは III を使いたいならば、２番目の例を # 使ってください。 # <!-- # NOTE: If you get ERRORs loading the QUAKE module, you are running an old # ----- kernel that has bugs in it. Please upgrade to the newest kernel. --> # 注意: もし、QUAKE モジュールのロード時にエラーが出た場合は、古いバグのあるカーネルが動いています。 # ----- その場合はより新しいカーネルに置き換えてください。 # #Quake I / QuakeWorld (ports 26000 and 27000) #/sbin/modprobe ip_masq_quake # #Quake I/II/III / QuakeWorld (ports 26000, 27000, 27910, 27960) #/sbin/modprobe ip_masq_quake 26000,27000,27910,27960 <!-- # Supports the masquerading of the CuSeeme video conferencing software --> # CuSeeme ビデオ会議ソフトウエアに対するマスカレードを提供 # #/sbin/modprobe ip_masq_cuseeme <!-- #Supports the masquerading of the VDO-live video conferencing software --> # VDO-Live ビデオ会議ソフトウエアに対するマスカレードを提供 # #/sbin/modprobe ip_masq_vdolive <!-- #CRITICAL: Enable IP forwarding since it is disabled by default since # # Redhat Users: you may try changing the options in /etc/sysconfig/network from: --> #非常に重要: IP フォワーディングはデフォルトでは無効になっているので、有効にします。 # # Redhat ユーザの場合は、/etc/sysconfig/network のオプション指定行を # # FORWARD_IPV4=false <!-- # to --> # から # FORWARD_IPV4=true # に変更してください。 # echo "1" > /proc/sys/net/ipv4/ip_forward <!-- #CRITICAL: Enable automatic IP defragmenting since it is disabled by default # in 2.2.x kernels # # This used to be a compile-time option but the behavior was changed # in 2.2.12 --> #非常に重要: 2.2.x カーネルでは IP デフラグメンテーションのサポートはデフォルトでは無効です。 # # コンパイル時の指定によるものですが、2.2.12 カーネル以降は変更されています。 # echo "1" > /proc/sys/net/ipv4/ip_always_defrag <!-- # Dynamic IP users: # # If you get your IP address dynamically from SLIP, PPP, or DHCP, enable this # following option. This enables dynamic-ip address hacking in IP MASQ, # making the life with Diald and similar programs much easier. --> # 動的に割り当てられる IP アドレスを使用するユーザ向け - # # IP アドレスを SLIP, PPP, DHCP などから動的に取得する場合は、次のオプションを有効にしてください。 # このオプションは、IP マスカレードで動的 IP アドレスの操作を許可し、Dialdや同様なプログラムの # 使用をより容易にするものです。 # #echo "1" > /proc/sys/net/ipv4/ip_dynaddr <!-- # Specify your Static IP address here. --> # あなたの静的な IP アドレスを以下に指定します # <!-- # If you have a DYNAMIC IP address, you need to make this ruleset understand # your IP address everytime you get a new IP. To do this, enable the # following one-line script. (Please note that the different single and # double quote characters MATTER). --> # 動的に割り当てられる IP アドレスを使用するなら、新しい IP アドレスが割り当てられるたびに適用 # するように、ルールセットを書き換えなければなりません。そのためには、、以下のような一行のスクリプトを # 有効にする必要があります。（スクリプト例内の一重引用符と二重引用符の違いは意味を持ちますので注意） # # <!-- # DHCP users: # ----------- # If you get your TCP/IP address via DHCP, **you will need ** to enable the # #ed out command below underneath the PPP section AND replace the word # "ppp0" with the name of your EXTERNAL Internet connection (eth0, eth1, # etc). It should be also noted that the DHCP server can change IP # addresses on you. To fix this, users should configure their DHCP client # to re-run the firewall ruleset everytime the DHCP lease is renewed. --> # DHCP を利用する場合 - # --------------------- # TCP/IP アドレスを DHCP から取得する場合は、 ppp セクションの下にある、 # "#" でコメントアウトされた部分を有効にし、"ppp0" とある部分を、 # インターネット接続用のインタフェースの名前に置き換えなければ # なりません (例えば、 eth0 や eth1 等) 。 # DHCP は割り当てた IP アドレスを随時変更することに注意してください。 # この変更を正しく反映させるには、 DHCP リースが更新される度毎に、 # DHCP クライアントを再度実行してファイアウォールルールセットを反映 # させなければなりません。 # <!-- # NOTE #1: Some DHCP clients like the older version of "pump" (the newer # versions have been fixed) did NOT have the ability to run # scripts after a lease-renew. Because of this, you need to # replace it with something like "dhcpcd" or "dhclient". --> # 注意 #1 - 旧バージョンの "pump" のような (新しいバージョンでは # 問題点は修正されています) DHCP クライアントによっては、 # IP アドレスリース更新後にスクリプトを実行することが # できないものがあります。 # その場合は、"dhcpcd" か "dhclient" に置き換えなければ # なりません。 # <!-- # NOTE #2: The syntax for "dhcpcd" has changed in recent versions. # # Older versions used syntax like: # dhcpcd -c /etc/rc.d/rc.firewall eth0 # # Newer versions use syntax like: # dhcpcd eth0 /etc/rc.d/rc.firewall --> # 注意 #2 - 最近のバージョンの "dhcpcd" では、コマンド文法が変わって # います。 # # 旧バージョンでの指定方法は、次のようなものでした: # dhcpcd -c /etc/rc.d/rc.firewall eth0 # # 新しいバージョンでは次のように指定します: # dhcpcd eth0 /etc/rc.d/rc.firewall # <!-- # NOTE #3: For Pump users, put the following line in /etc/pump.conf: --> # 注意 3 - Pump を使う場合、/etc/pump.conf ファイルに次の記述を追加してください。 # 注意 #3 - Pump を使う場合、 /etc/pump.conf ファイルに次の記述を # 追加してください - # # script /etc/rc.d/rc.firewall # <!-- # PPP users: # ---------- # If you aren't already aware, the /etc/ppp/ip-up script is always run when # a PPP connection comes up. Because of this, we can make the ruleset go # and get the new PPP IP address and update the strong firewall ruleset. # # If the /etc/ppp/ip-up file already exists, you should edit it and add a line # containing "/etc/rc.d/rc.firewall" near the end of the file. # # If you don't already have a /etc/ppp/ip-up sccript, you need to create the # following link to run the /etc/rc.d/rc.firewall script. --> # PPP を利用する場合 - # ---------- # PPP を利用する場合 - # -------------------- # お気づきではないかもしれませんが、PPP 接続が確立する度毎に、 # /etc/ppp/ip-up スクリプトが動作します。 # これを利用して、新しい IP アドレスの取得と強固なファイアウォール・ # ルールセットの再設定を行います。 # # もし、/etc/ppp/ip-up がすでに存在しているなら、それを編集して"/etc/rc.d/rc.firewall" # という記述を最後のあたりに追加するようにしてください。 # # もし、/etc/ppp/ip-up スクリプトが存在しなかったなら、/etc/rc.d/rc.firewall スクリプト # を実行するための次のようなリンクを作成する必要があります。 # # ln -s /etc/rc.d/rc.firewall /etc/ppp/ip-up # <!-- # * You then want to enable the #ed out shell command below * --> # * 続いて、以下のコメントアウトされたシェルコマンドを必要に応じて有効にしてください * # # <!-- # PPP and DHCP Users: # ------------------- # Remove the # on the line below and place a # in front of the line after that. --> # PPP 及び DHCP を利用する場合 - # ------------------- # PPP 及び DHCP を利用する場合 - # -------------------------------- # 次の行の "#" を削除して、その次の行の先頭に "#" を入れてください。 # #ppp_ip="`/sbin/ifconfig ppp0 | grep 'inet addr' | awk '{print $2}' | sed -e 's/.*://'`" # ppp_ip="your.static.PPP.address" <!-- # MASQ timeouts # # 2 hrs timeout for TCP session timeouts # 10 sec timeout for traffic after the TCP/IP "FIN" packet is received # 60 sec timeout for UDP traffic (MASQ'ed ICQ users must enable a 30sec firewall timeout in ICQ itself) --> # マスカレードのタイムアウト # # 2 時間= TCP セッション # 10 秒　= TCP/IP の "FIN" パケットが受信されたあとのトラフィック # 60 秒　= UDP トラフィック (マスカレードされた環境での ICQ ユーザは、 # ICQ クライアントの設定で、ファイアウォールタイムアウト値を # 30秒に指定しなければなりません) # /sbin/ipfwadm -M -s 7200 10 60 ############################################################################# <!-- # Incoming, flush and set default policy of reject. Actually the default policy # is irrelevant because there is a catch all rule with deny and log. --> <!-- To Do : catch は最終的な受け皿（洗面所のヘアキャッチと同じニュアンス）として意訳した --> # 到着パケットについて、既存のルールを破棄し、初期ポリシーを # 拒絶【訳注: reject】に設定。実際は、拒絶してログに記録する # 最終ルールを用意するので、このポリシーは動作には無関係になる。 <!-- 英文は "deny and log" ですが、実際に書き込まれるルールは reject なので、敢えて「拒絶」と訳しました。(松田) --> # 【訳注: ルールを reject にすると、ルールに合致したパケットを破棄して、 # "destination-unreachable" (目的地に到達しない) という ICMP パケットを # 相手側 (送信元アドレスのマシン) に発信します。 # deny にすると、"destination-unreachable" パケットも出さずに、受信した # パケットを単に破棄します。 # /sbin/ipfwadm -I -f /sbin/ipfwadm -I -p reject <!-- # local interface, local machines, going anywhere is valid --> # ローカルインタフェース側とローカルマシン側からのパケットはどこに向かうものも有効とする # ローカルマシン側からローカルインタフェースに入るパケットは、どこに # 向かうものも有効とする。 # /sbin/ipfwadm -I -a accept -V 192.168.0.1 -S 192.168.0.0/24 -D 0.0.0.0/0 <!-- # remote interface, claiming to be local machines, IP spoofing, get lost --> # リモートインタフェース側から入って来る IP スプーフィング【訳注: IP 偽装】 # パケットや迷子パケットは、本来ならローカルマシンからであるべきものなので、 # 拒絶する。 # /sbin/ipfwadm -I -a reject -V $ppp_ip -S 192.168.0.0/24 -D 0.0.0.0/0 -o <!-- # remote interface, any source, going to permanent PPP address is valid --> # リモートインタフェース側の固定的な PPP アドレスへ送られるどこからのパケットも有効とする # リモートインターフェースから入る、宛先アドレスが PPP アドレスのパケットは、 # どの発信元アドレスからのものも有効とする。 # 【訳注: 以下のコマンドの前に、 # /sbin/ipfwadm -I -a deny -V $ppp_ip -S 0.0.0.0/0 -y -D $ppp_ip/32 -o # があるか、或は以下のコマンドが # /sbin/ipfwadm -I -a accept -V $ppp_ip -S 0.0.0.0/0 -k -D $ppp_ip/32 # となっている方がより好ましいと思います。】 # /sbin/ipfwadm -I -a accept -V $ppp_ip -S 0.0.0.0/0 -D $ppp_ip/32 <!-- # loopback interface is valid. --> # ループバックインタフェースを有効とする # /sbin/ipfwadm -I -a accept -V 127.0.0.1 -S 0.0.0.0/0 -D 0.0.0.0/0 <!-- # catch all rule, all other incoming is denied and logged. pity there is no # log option on the policy but this does the job instead. --> # 最終ルール。その他の到着パケットは拒絶され、ログに記録される。ポリシーには # ログ記録のためのオプションがないため、これがその役割を代わりに果たすことに # なる。 # /sbin/ipfwadm -I -a reject -S 0.0.0.0/0 -D 0.0.0.0/0 -o ############################################################################# <!-- # Outgoing, flush and set default policy of reject. Actually the default policy # is irrelevant because there is a catch all rule with deny and log. --> # # 送出パケットについて、既存のルールを破棄し、初期ポリシーを # 拒絶【訳注: reject】に設定。実際は、拒絶してログに記録する最終ルールを # 用意するので、このポリシーは動作には無関係になる。 <!-- 英文は "deny and log" ですが、実際に書き込まれるルールは reject なので、敢えて「拒絶」と訳しました。(松田) --> /sbin/ipfwadm -O -f /sbin/ipfwadm -O -p reject <!-- # local interface, any source going to local net is valid --> # ローカルインタフェース側から、ローカルネットへ向かうどこからのパケットも有効 # ローカルインタフェースから出力される、ローカルネットへ向かうパケットは # どこからのものも有効とする。 # /sbin/ipfwadm -O -a accept -V 192.168.0.1 -S 0.0.0.0/0 -D 192.168.0.0/24 <!-- # outgoing to local net on remote interface, stuffed routing, deny --> # リモートインタフェース上でローカルネットへ送出されるパケットは、 # 偽装ルーティングなので、拒絶する。 <!-- ここも英文は "deny" ですが、実際のルールは reject ですので、「拒絶」 としました。(松田) --> # /sbin/ipfwadm -O -a reject -V $ppp_ip -S 0.0.0.0/0 -D 192.168.0.0/24 -o <!-- # outgoing from local net on remote interface, stuffed masquerading, deny --> # リモートインタフェースでのローカルネットへの送出パケットはあり得ないマスカレーディングなので拒否 # リモートインタフェース上でローカルネットから送出されるパケットは、 # あり得ないマスカレーディングなので、拒絶する。 # /sbin/ipfwadm -O -a reject -V $ppp_ip -S 192.168.0.0/24 -D 0.0.0.0/0 -o <!-- # outgoing from local net on remote interface, stuffed masquerading, deny --> # リモートインタフェース上でローカルネットから送出されるパケットは、 # あり得ないマスカレーディングなので、拒絶する。 # /sbin/ipfwadm -O -a reject -V $ppp_ip -S 0.0.0.0/0 -D 192.168.0.0/24 -o # 【訳注: 上記ルールは2つ上のものと全く同じですので、明らかに間違いと # 思われます。】 <!-- # anything else outgoing on remote interface is valid --> # リモートインタフェースからのそれ以外の送出パケットは有効 # /sbin/ipfwadm -O -a accept -V $ppp_ip -S $ppp_ip/32 -D 0.0.0.0/0 <!-- # loopback interface is valid. --> # ループバックインタフェースを有効にする # /sbin/ipfwadm -O -a accept -V 127.0.0.1 -S 0.0.0.0/0 -D 0.0.0.0/0 <!-- # catch all rule, all other outgoing is denied and logged. pity there is no # log option on the policy but this does the job instead. --> # 最終ルール。その他の送出パケットは拒絶され、ログに記録される。 # ポリシーにはログ記録のためのオプションはないため、これがその役割を # 代わりに果たすことになる。 # /sbin/ipfwadm -O -a reject -S 0.0.0.0/0 -D 0.0.0.0/0 -o ############################################################################# <!-- # Forwarding, flush and set default policy of deny. Actually the default policy # is irrelevant because there is a catch all rule with deny and log. --> # 転送パケットについて、既存のルールを破棄し、初期ポリシーを # 否定【訳注: deny】に設定。実際は、否定してログに記録する最終ルールを # 用意するので、このポリシーは動作には無関係になる。 # /sbin/ipfwadm -F -f /sbin/ipfwadm -F -p deny <!-- # Masquerade from local net on local interface to anywhere. --> # ローカルインタフェースでのローカルネットからその他の宛先へのパケットをマスカレードする # ローカルインタフェース上のローカルネットからその他の宛先へのパケットを # マスカレードする。 # # /sbin/ipfwadm -F -a masquerade -W ppp0 -S 192.168.0.0/24 -D 0.0.0.0/0 # <!-- # catch all rule, all other forwarding is denied and logged. pity there is no # log option on the policy but this does the job instead. --> # 最終ルール。その他の転送パケットは拒絶され、ログに記録される。 # ポリシーにはログ記録のためのオプションはないため、これがその役割を # 代わりに果たすことになる。 # /sbin/ipfwadm -F -a reject -S 0.0.0.0/0 -D 0.0.0.0/0 -o <!-- #End of file. --> #ファイル終わり。 </verb> ]]> <!-- 以下、上記の翻訳部分--> <verb> #!/bin/sh # # /etc/rc.d/rc.firewall: IPFWADM を使ったやや強固なファイアウオール・ルールセット # PATH=/sbin:/bin:/usr/sbin:/usr/bin # テスト用 - しばらく待機してからすべてのファイアウオールルールをクリアする。 # 10分後にすべての設定を一旦解除する必要があるなら、以下のコメントを解除してください。 # (sleep 600; \ # ipfwadm -I -f; \ # ipfwadm -I -p accept; \ # ipfwadm -O -f; \ # ipfwadm -O -p accept; \ # ipfwadm -F -f; \ # ipfwadm -F -p accept; \ # ) & # 必要なすべての IP マスカレードモジュールをロードする # # 注意 - 必要な IP マスカレードモジュールだけをロードします。すべてのIP マスカレード # モジュールが以下に記述されていますが、ロードされないようにコメントとなって # います。 # モジュールを最初にロードする時にまず必要 # /sbin/depmod -a # PORT 方式を使ってFTP ファイル転送における適切な IP マスカレードを提供します # /sbin/modprobe ip_masq_ftp # UDP プロトコルを経由した、RealAudio のマスカレードを提供します。このモジュールがなくても # RealAudio は TCP モードで動作しますが、音質は低下します。 # #/sbin/modprobe ip_masq_raudio # IRC DCC ファイル転送のマスカレードを提供します # #/sbin/modprobe ip_masq_irc # 以下の指定によって Quake と QuakeWorld をデフォルトで提供します。 # このモジュールは Linux の マスカレードサーバから内側のユーザが # 複数存在する場合のためのものです。 # もし、Quake I, II, あるいは III を使いたいならば、２番目の例を # 使ってください。 # # 注意 - もし、QUAKE モジュールのロード時にエラーが出た場合は、古いバグのあるカーネルが動いています。 # ----- その場合はより新しいカーネルに置き換えてください。 # #Quake I / QuakeWorld (ports 26000 and 27000) #/sbin/modprobe ip_masq_quake # #Quake I/II/III / QuakeWorld (ports 26000, 27000, 27910, 27960) #/sbin/modprobe ip_masq_quake 26000,27000,27910,27960 # CuSeeme ビデオ会議ソフトウエアに対するマスカレードを提供 # #/sbin/modprobe ip_masq_cuseeme # VDO-Live ビデオ会議ソフトウエアに対するマスカレードを提供 # #/sbin/modprobe ip_masq_vdolive #非常に重要 - IP フォワーディングはデフォルトでは無効になっているので、有効にします。 # # Redhat ユーザの場合は、/etc/sysconfig/network のオプション指定行を # # FORWARD_IPV4=false # から # FORWARD_IPV4=true # に変更してください。 # echo "1" > /proc/sys/net/ipv4/ip_forward #非常に重要 - 2.2.x カーネルでは IP デフラグメンテーションのサポートはデフォルトでは無効です。 # # コンパイル時の指定によるものですが、2.2.12 カーネル以降は変更されています。 # echo "1" > /proc/sys/net/ipv4/ip_always_defrag # 動的に割り当てられる IP アドレスを使用するユーザ向け - # # IP アドレスを SLIP, PPP, DHCP などから動的に取得する場合は、次のオプションを有効にしてください。 # このオプションは、IP マスカレードで動的 IP アドレスの操作を許可し、Dialdや同様なプログラムの # 使用をより容易にするものです。 # #echo "1" > /proc/sys/net/ipv4/ip_dynaddr # あなたの静的な IP アドレスを以下に指定します # # 動的に割り当てられる IP アドレスを使用するなら、新しい IP アドレスが割り当てられるたびに適用 # するように、ルールセットを書き換えなければなりません。そのためには、、以下のような一行のスクリプトを # 有効にする必要があります。（スクリプト例内の一重引用符と二重引用符の違いは意味を持ちますので注意） # # # DHCP を利用する場合 - # --------------------- # TCP/IP アドレスを DHCP から取得する場合は、 ppp セクションの下にある、 # "#" でコメントアウトされた部分を有効にし、"ppp0" とある部分を、 # インターネット接続用のインタフェースの名前に置き換えなければ # なりません (例えば、 eth0 や eth1 等) 。 # DHCP は割り当てた IP アドレスを随時変更することに注意してください。 # この変更を正しく反映させるには、 DHCP リースが更新される度毎に、 # DHCP クライアントを再度実行してファイアウォールルールセットを反映 # させなければなりません。 # # 注意 #1 - 旧バージョンの "pump" のような (新しいバージョンでは # 問題点は修正されています) DHCP クライアントによっては、 # IP アドレスリース更新後にスクリプトを実行することが # できないものがあります。 # その場合は、"dhcpcd" か "dhclient" に置き換えなければ # なりません。 # # 注意 #2 - 最近のバージョンの "dhcpcd" では、コマンド文法が変わって # います。 # # 旧バージョンでの指定方法は、次のようなものでした - # dhcpcd -c /etc/rc.d/rc.firewall eth0 # # 新しいバージョンでは次のように指定します - # dhcpcd eth0 /etc/rc.d/rc.firewall # # 注意 #3 - Pump を使う場合、 /etc/pump.conf ファイルに次の記述を # 追加してください - # # script /etc/rc.d/rc.firewall # # # PPP を利用する場合 - # -------------------- # お気づきではないかもしれませんが、PPP 接続が確立する度毎に、 # /etc/ppp/ip-up スクリプトが動作します。 # これを利用して、新しい IP アドレスの取得と強固なファイアウォール・ # ルールセットの再設定を行います。 # # もし、/etc/ppp/ip-up がすでに存在しているなら、それを編集して"/etc/rc.d/rc.firewall" # という記述を最後のあたりに追加するようにしてください。 # # もし、/etc/ppp/ip-up スクリプトが存在しなかったなら、/etc/rc.d/rc.firewall スクリプト # を実行するための次のようなリンクを作成する必要があります。 # # ln -s /etc/rc.d/rc.firewall /etc/ppp/ip-up # # * 続いて、以下のコメントアウトされたシェルコマンドを必要に応じて有効にしてください * # # # # PPP 及び DHCP を利用する場合 - # -------------------------------- # 次の行の "#" を削除して、その次の行の先頭に "#" を入れてください。 # #ppp_ip="`/sbin/ifconfig ppp0 | grep 'inet addr' | awk '{print $2}' | sed -e 's/.*://'`" # ppp_ip="your.static.PPP.address" # マスカレードのタイムアウト # # 2 時間= TCP セッション # 10 秒　= TCP/IP の "FIN" パケットが受信されたあとのトラフィック # 60 秒　= UDP トラフィック (マスカレードされた環境での ICQ ユーザは、 # ICQ クライアントの設定で、ファイアウォールタイムアウト値を # 30秒に指定しなければなりません) # /sbin/ipfwadm -M -s 7200 10 60 ############################################################################# # 到着パケットについて、既存のルールを破棄し、初期ポリシーを # 拒絶【訳注: reject】に設定。実際は、拒絶してログに記録する # 最終ルールを用意するので、このポリシーは動作には無関係になる。 # 【訳注: ルールを reject にすると、ルールに合致したパケットを破棄して、 # "destination-unreachable" (目的地に到達しない) という ICMP パケットを # 相手側 (送信元アドレスのマシン) に発信します。 # deny にすると、"destination-unreachable" パケットも出さずに、受信した # パケットを単に破棄します。 # /sbin/ipfwadm -I -f /sbin/ipfwadm -I -p reject # ローカルマシン側からローカルインタフェースに入るパケットは、どこに # 向かうものも有効とする。 # /sbin/ipfwadm -I -a accept -V 192.168.0.1 -S 192.168.0.0/24 -D 0.0.0.0/0 # リモートインタフェース側から入って来る IP スプーフィング【訳注: IP 偽装】 # パケットや迷子パケットは、本来ならローカルマシンからであるべきものなので、 # 拒絶する。 # /sbin/ipfwadm -I -a reject -V $ppp_ip -S 192.168.0.0/24 -D 0.0.0.0/0 -o # リモートインターフェースから入る、宛先アドレスが PPP アドレスのパケットは、 # どの発信元アドレスからのものも有効とする。 # 【訳注: 以下のコマンドの前に、 # /sbin/ipfwadm -I -a deny -V $ppp_ip -S 0.0.0.0/0 -y -D $ppp_ip/32 -o # があるか、或は以下のコマンドが # /sbin/ipfwadm -I -a accept -V $ppp_ip -S 0.0.0.0/0 -k -D $ppp_ip/32 # となっている方がより好ましいと思います。】 # /sbin/ipfwadm -I -a accept -V $ppp_ip -S 0.0.0.0/0 -D $ppp_ip/32 # ループバックインタフェースを有効とする # /sbin/ipfwadm -I -a accept -V 127.0.0.1 -S 0.0.0.0/0 -D 0.0.0.0/0 # 最終ルール。その他の到着パケットは拒絶され、ログに記録される。ポリシーには # ログ記録のためのオプションがないため、これがその役割を代わりに果たすことに # なる。 # /sbin/ipfwadm -I -a reject -S 0.0.0.0/0 -D 0.0.0.0/0 -o ############################################################################# # 送出パケットについて、既存のルールを破棄し、初期ポリシーを # 拒絶【訳注: reject】に設定。実際は、拒絶してログに記録する最終ルールを # 用意するので、このポリシーは動作には無関係になる。 # /sbin/ipfwadm -O -f /sbin/ipfwadm -O -p reject # ローカルインタフェースから出力される、ローカルネットへ向かうパケットは # どこからのものも有効とする。 # /sbin/ipfwadm -O -a accept -V 192.168.0.1 -S 0.0.0.0/0 -D 192.168.0.0/24 # リモートインタフェース上でローカルネットへ送出されるパケットは、 # 偽装ルーティングなので、拒絶する。 # /sbin/ipfwadm -O -a reject -V $ppp_ip -S 0.0.0.0/0 -D 192.168.0.0/24 -o # リモートインタフェース上でローカルネットから送出されるパケットは、 # あり得ないマスカレーディングなので、拒絶する。 # /sbin/ipfwadm -O -a reject -V $ppp_ip -S 192.168.0.0/24 -D 0.0.0.0/0 -o # リモートインタフェース上でローカルネットから送出されるパケットは、 # あり得ないマスカレーディングなので、拒絶する。 # /sbin/ipfwadm -O -a reject -V $ppp_ip -S 0.0.0.0/0 -D 192.168.0.0/24 -o # 【訳注: 上記ルールは2つ上のものと全く同じですので、明らかに間違いと # 思われます。】 # リモートインタフェースからのそれ以外の送出パケットは有効 # /sbin/ipfwadm -O -a accept -V $ppp_ip -S $ppp_ip/32 -D 0.0.0.0/0 # ループバックインタフェースを有効にする # /sbin/ipfwadm -O -a accept -V 127.0.0.1 -S 0.0.0.0/0 -D 0.0.0.0/0 # 最終ルール。その他の送出パケットは拒絶され、ログに記録される。 # ポリシーにはログ記録のためのオプションはないため、これがその役割を # 代わりに果たすことになる。 # /sbin/ipfwadm -O -a reject -S 0.0.0.0/0 -D 0.0.0.0/0 -o ############################################################################# # 転送パケットについて、既存のルールを破棄し、初期ポリシーを # 否定【訳注: deny】に設定。実際は、否定してログに記録する最終ルールを # 用意するので、このポリシーは動作には無関係になる。 # /sbin/ipfwadm -F -f /sbin/ipfwadm -F -p deny # ローカルインタフェース上のローカルネットからその他の宛先へのパケットを # マスカレードする。 # # /sbin/ipfwadm -F -a masquerade -W ppp0 -S 192.168.0.0/24 -D 0.0.0.0/0 # # 最終ルール。その他の転送パケットは拒絶され、ログに記録される。 # ポリシーにはログ記録のためのオプションはないため、これがその役割を # 代わりに果たすことになる。 # /sbin/ipfwadm -F -a reject -S 0.0.0.0/0 -D 0.0.0.0/0 -o #ファイル終わり。 </verb> <p> <!-- With IPFWADM, you can block traffic to a particular site using the -I, -O or -F rules. Remember that the set of rules are scanned top to bottom and "-a" tells IPFWADM to "append" this new rule to the existing set of rules. So with this in mind, any specific restrictions need to come before global rules. For example: --> IPFWADM では、 -I, -O あるいは -F ルールによって、特定のサイトへの トラフィックを阻止することができます。 このルールは最初から最後へと順に適用されていきます。 また、 IPFWADM の "-a"オプションは、既存のルール群に対して新しい ルールを「追加」するものだということに注意してください。 これに留意すると、全体のルールを指定する前に、他の個別の制限が必要と なってきます。 たとえば、次のようなものです - <p> <!-- Using -I (input ) rules: --> -I (到着)ルール - -I (input) ルールを使う - <!-- -I の I が Input であることを鑑みて、敢えて input を訳さないように してみました。(松田) --> <p> 【訳注: 全てのインターフェースに到着するパケットが通過するルールです。 個別のインターフェースの指定は、 -V オプション又は -W オプションで 指定します。】 <p> <!-- Probably the fastest and most efficient method to block traffic but it only stops the MASQed machines and NOT the the firewall machine itself. Of course you might want to allow that combination. --> これはおそらくトラフィックをブロックする為の、最も手っ取り早くて 効率の良い方法ですが、マスカレードされたマシンに対してのみ阻止でき、 ファイアウォールマシン自身へのトラフィックは阻止できません。 もちろん、この組み合わせを許可したいということもあるでしょうが。 <!-- only は "it only stops the MASQed machines" にしか掛かっていないと 思います。(松田) --> <p> <!-- Anyway, to block 204.50.10.13: --> さて、 204.50.10.13 というアドレスへのトラフィックを阻止する場合 - <p> <!-- In the /etc/rc.d/rc.firewall ruleset: --> /etc/rc.d/rc.firewall ルールセットの中の /etc/rc.d/rc.firewall のルールセットの中 - <![ %codes; CDATA [ <verb> <!-- ... start of -I rules ... --> ... -I ルールのはじまり ... <!-- # reject and log local interface, local machines going to 204.50.10.13 --> # ローカルインタフェース上で、 204.50.10.13 というマシンへのパケットを # 拒絶してログを取る。 # /sbin/ipfwadm -I -a reject -V 192.168.0.1 -S 192.168.0.0/24 -D 204.50.10.13/32 -o <!-- # local interface, local machines, going anywhere is valid --> #　ローカルインタフェース上で、あらゆるローカルマシンから発せられる # パケットは、どこへ向かうものも有効とする。 # /sbin/ipfwadm -I -a accept -V 192.168.0.1 -S 192.168.0.0/24 -D 0.0.0.0/0 <!-- ... end of -I rules ... --> ... -I ルールの終わり ... </verb> ]]> <verb> ... -I ルールのはじまり ... # ローカルインタフェース上で、 204.50.10.13 というマシンへのパケットを # 拒絶してログを取る。 # /sbin/ipfwadm -I -a reject -V 192.168.0.1 -S 192.168.0.0/24 -D 204.50.10.13/32 -o #　ローカルインタフェース上で、あらゆるローカルマシンから発せられる # パケットは、どこへ向かうものも有効とする。 # /sbin/ipfwadm -I -a accept -V 192.168.0.1 -S 192.168.0.0/24 -D 0.0.0.0/0 ... -I ルールの終わり ... </verb> <!-- Using -O (output) rules: --> -o (送出)ルール - -O (output) ルールを使う - <!-- -O の O が Output であることを鑑みて、敢えて output を訳さないように してみました。(松田) --> <p> 【訳注: 全てのインターフェースから送出されるパケットが通過するルールです。 個別のインターフェースの指定は、 -V オプション又は -W オプションで 指定します。】 <p> <!-- This is the slower method to block traffic because the packets go through masquerading first before they are dropped. Yet, this rule even stops the firewall machine from accessing the forbidden site. --> これはトラフィックをブロックするには遅い方法です。 何故ならば、パケットは破棄されるより以前にマスカレードを通ってしまう からです。 しかしながらこのルールでも、禁止しているサイトからのファイアウォール マシンに対するアクセスを阻止することができます。 <!-- even (ad.) …でも also と同じ意味だと思います。(松田) --> <![ %codes; CDATA [ <verb> <!-- ... start of -O rules ... --> ... -O ルールの始まり ... <!-- # reject and log outgoing to 204.50.10.13 --> # 204.50.10.13 に向けられたパケットを拒否してログを採取する # 204.50.10.13 に向けられたパケットを拒絶してログを採取する。 # /sbin/ipfwadm -O -a reject -V $ppp_ip -S $ppp_ip/32 -D 204.50.10.13/32 -o <!-- # anything else outgoing on remote interface is valid --> # 上記以外のリモートインタフェース上でのあらゆるパケットの送出は # 有効にする。 # /sbin/ipfwadm -O -a accept -V $ppp_ip -S $ppp_ip/32 -D 0.0.0.0/0 <!-- ... end of -O rules ... --> ... -O ルールの終わり ... </verb> ]]> <verb> ... -O ルールの始まり ... # 204.50.10.13 に向けられたパケットを拒否してログを採取する # /sbin/ipfwadm -O -a reject -V $ppp_ip -S $ppp_ip/32 -D 204.50.10.13/32 -o # 上記以外のリモートインタフェース上でのあらゆるパケットの送出は # 有効にする。 # /sbin/ipfwadm -O -a accept -V $ppp_ip -S $ppp_ip/32 -D 0.0.0.0/0 ... -O ルールの終わり ... </verb> <!-- Using -F (forward) rules: --> -F (転送)ルールの使用 - -F (forward) ルールを使う - <p> 【訳注: 全てのインターフェース上で転送されるパケットが通過するルールです。 個別のインターフェースの指定は、 -V オプション又は -W オプションで 指定します。】 <p> <!-- Probably slower than -I (input) rules for blocking traffic, this still only stops masqueraded machines (e.g. internal machines). The firewall machine can still reach forbidden site(s). --> おそらく、トラフィックをブロックするには、 -I (input) ルールより 遅い方法ですが、マスカレードされたマシン (たとえば、ローカルエリア ネットワークのマシン) に対するトラフィックだけは阻止できます。 ファイアウォールマシンは禁止したいサイトから到達可能のままです。 <![ %codes CDATA [ <verb> <!-- ... start of -F rules ... --> ... -F ルールの開始 ... <!-- # Reject and log from local net on PPP interface to 204.50.10.13. --> # PPP インタフェース上での 204.50.10.13 に向けたパケットを拒否してログ採取する # /sbin/ipfwadm -F -a reject -W ppp0 -S 192.168.0.0/24 -D 204.50.10.13/32 -o <!-- # Masquerade from local net on local interface to anywhere. --> # ローカルインターフェース側のローカルネットからのマスカレードを行う # /sbin/ipfwadm -F -a masquerade -W ppp0 -S 192.168.0.0/24 -D 0.0.0.0/0 <!-- ... end of -F rules ... --> ... -F ルールの終わり ... </verb> ]]> <verb> ... -F ルールの開始 ... # PPP インタフェース上での 204.50.10.13 に向けたパケットを拒否してログ採取する # /sbin/ipfwadm -F -a reject -W ppp0 -S 192.168.0.0/24 -D 204.50.10.13/32 -o # ローカルインターフェース側のローカルネットからのマスカレードを行う # /sbin/ipfwadm -F -a masquerade -W ppp0 -S 192.168.0.0/24 -D 0.0.0.0/0 ... -F ルールの終わり ... </verb> <!-- There is no need for a special rule to allow machines on the 192.168.0.0/24 network to go to 204.50.11.0. Why? It is already covered by the global MASQ rule. --> 192.168.0.0/24 のマシンから 204.50.11.0 に向けてのアクセスを許す特別なルールは不要です。 なぜなら、それらは全体的なマスカレーディングのルールによってまかなわれているからです。 <p> <!-- NOTE: There is more than one way of coding the interfaces in the above rules. For example instead of "-V 192.168.255.1" you can code "-W eth0", instead of "-V $ppp_ip" , you can use "-W ppp0". The "-V" method was phased out with the imgration to IPCHAINS but for IPFWADM users, its personal choice and documentation more than anything. --> 注意 - 前出の方法以外にも、各インタフェースを記述する方法はあります。 例えば、 "-V 192.168.255.1" という記述の代わりに、"-W eth0"とも 書けますし、 "-V $ppp_ip" という記述の代わりに "-W ppp0" とも 書けます。 "-V" を使う方法は IPCHAINS へ移行する場合には使えません。 しかし、 IPFWADM のユーザがどちらを選択するかは個人の自由であり、 明文化して述べるまでもないことです。 <!-- かなり意訳してしまいました。(松田) --> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Stronger IP Firewall (IPCHAINS) rulesets --> <sect1> IPCHAINS によるさらに強固な IP ファイアウオール・ルールセット <p> <label id="Strong-IPCHAINS-Rulesets"> <!-- This section provides a more in-depth guide on using the 2.2.x firewall tool, IPCHAINS. See above for IPFWADM rulesets. --> この章では、 2.2.x 系カーネルのファイアウォールツールである IPCHAINS の 詳細なガイドを記します。 IPFWADM については前出を参照してください。 <p> <!-- This example is for a firewall/masquerade system behind a PPP link with a static PPP address (dynamic PPP instructions are included but disabled). The trusted interface is 192.168.0.1 and the PPP interface IP address has been changed to protect the guilty :). I have listed each incoming and outgoing interface individually to catch IP spoofing as well as stuffed routing and/or masquerading. A nything not explicitly allowed is <bf>FORBIDDEN</bf> (well.. rejected actually). If your IP MASQ box breaks after implementing this rc.firewall script, be sure that you edited it for your configuration and check your /var/log/messages or /var/adm/messages SYSLOG file for any firewall errors. --> この例は、固定的な IP アドレスを持つ PPP 接続の背後にある ファイアウォールとマスカレードです (動的にアドレスを与えられる PPP の 命令については含まれてはいますが有効にはしていません)。 信頼できるインタフェースは 192.168.0.1 であり、 PPP インターフェースの アドレスは「悪い奴ら」から守るために書き換えています。 出入りそれぞれのインタフェースは別々に列挙していますが、 これは ルーティングやマスカレードをわかりやすくする以外に IP スプーフィングや不正なルーティングを検出しやすくするためのものでも あります。 明確に許可されていないものは<bf>禁止</bf>です(実際には拒絶されます)。 もし、あなたの IP マスカレード BOX が、この rc.firewall スクリプトを 入れたあとでまともに動かなくなったとしたら、 /var/log/messages あるいは /var/adm/messages にある SYSLOG ファイルに何かファイアウオール関係の エラーがないか確認して、設定が間違っていないかを確かめてください。 <p> <!-- To Do :このパラグラフの IPFWADM は IPCHAINSの間違いだと思う --> <!-- For more comprehensive examples of a strong IP Masqueraded IPFWADM rulesets for PPP, Cablemodem users, etc., please see <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> and <htmlurl url="http://www.greatcircle.com/" name="GreatCircle's Firewall WWW page"> --> PPPやケーブルモデムなどを使った、IPCHAINS によるもっと強固な IP マスカレードの実用的な例については <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> や <htmlurl url="http://www.greatcircle.com/" name="GreatCircle's Firewall WWW page"> を参照してください。 <p> <!-- <bf>NOTE #1: </bf>Linux 2.2.x kernels less than 2.2.16 have a TCP root exploit vunerability and versions less than 2.2.11 have a IPCHAINS fragmentation bug. Because of this, people running strong IPCHAINS rulesets are open to attack. Please upgrade your kernel to a fixed version. --> <bf>注意 #1 - </bf>2.2.16以前の Linux カーネルには、 TCP 接続でルート権限 を奪取される危険性があり、更に 2.2.11 以前のものには IPCHAINS の フラグメンテーションに関するバグがあります。 このため、強固な IPCHAINS ルールセットを稼働させる際には、攻撃に対して 無防備です。 修正されたバージョンのカーネルを使ってください。 <p> <!-- <bf>NOTE #2:</bf> If you get a dynamically assigned TCP/IP address from your ISP (PPP, ADSL, Cablemodems, etc.), you <bf>CANNOT load</bf> this strong ruleset upon boot. You will either need to reload this firewall ruleset EVERY TIME you get a new IP address or make your /etc/rc.d/rc.firewall ruleset more intelligent. To do this for PPP users, carefully read and un-comment out the properly lines in the "Dynamic PPP IP fetch" section below. You can also find more details in the <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> doc for more details on Strong rulesets and Dynamic IP addresses. --> <bf>注意 #2 - </bf> もし、TCP/IPアドレスが PPP, ADSL, ケーブルモデムなどを 経由して ISP から動的に割り当てられる場合には、この強固なルールセットを <bf>起動時に設定することはできません</bf>。 このような場合には、IP アドレスが割り当てられる度にこの ファイアウォール・ルールセットを再度読み込ませるか、あるいは /ec/rc.d/rc.firewall ルールセットをもっとインテリジェントに作る必要が あります。 PPP ユーザがこのルールセットを適用する場合には、後述する "Dynamic PPP IP fetch" と書かれた部分のコメントを注意深く適切に 外してください。 また、強固なルールセット及び動的に割り当てられる IP アドレスについての もっと詳しい解説は、 <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> にあります。 <p> <!-- <bf>Please also be aware that there are several GUI Firewall creation tools available as well. Please see the <ref id="FAQ"> section for full details.</bf> --> <bf>また、GUI ベースでファイアウォールの設定を生成するようなツールが いくつか存在します。 詳細は <ref id="FAQ" name="よくある質問 (FAQ)"> の章を参照してください。</bf> <p> <!-- Lastly, if you are using a STATIC PPP IP address, change the "ppp_ip="your.static.PPP.address"" line to reflect your address. --> 最後に、もし静的に割り当てられる IP アドレスを使っているなら、以下の例の "ppp_ip="your.static.PPP.address"" となっている部分をあなたの IP アドレスに書き換えてください。 ---------------------------------------------------------------- <p> <label id="stronger-rc.firewall-2.2.x"> <![ %codes; CDATA [ <verb> #!/bin/sh # <!-- # /etc/rc.d/rc.firewall: An example of a Semi-Strong IPCHAINS firewall ruleset. --> # /etc/rc.d/rc.firewall - やや強固な IPCHAINS ファイアウオール・ルールセット # PATH=/sbin:/bin:/usr/sbin:/usr/bin <!-- # Load all required IP MASQ modules --> # 必要なすべての IP マスカレードモジュールをロードする <!-- # NOTE: Only load the IP MASQ modules you need. All current IP MASQ modules # are shown below but are commented from loading. --> # 注意 - 必要な IP マスカレードモジュールだけをロードします。すべての IP マスカレードモジュールが # 以下に記述されていますが、ロードされないようにコメントとなっています。 <!-- # Needed to initially load modules --> # モジュールを最初にロードする時にまず必要 # /sbin/depmod -a <!-- # Supports the proper masquerading of FTP file transfers using the PORT method --> # PORT 方式を使ってFTP ファイル転送における適切な IP マスカレードを提供します # /sbin/modprobe ip_masq_ftp <!-- # Supports the masquerading of RealAudio over UDP. Without this module, # RealAudio WILL function but in TCP mode. This can cause a reduction # in sound quality --> # UDP プロトコルを経由した、RealAudio のマスカレードを提供します。このモジュールがなくても # RealAudio は TCP モードで動作しますが、音質は低下します。 # /sbin/modprobe ip_masq_raudio <!-- # Supports the masquerading of IRC DCC file transfers --> # IRC DCC ファイル転送のマスカレードを提供します # #/sbin/modprobe ip_masq_irc <!-- # Supports the masquerading of Quake and QuakeWorld by default. This modules is # for for multiple users behind the Linux MASQ server. If you are going to # play Quake I, II, and III, use the second example. # # NOTE: If you get ERRORs loading the QUAKE module, you are running an old # ----- kernel that has bugs in it. Please upgrade to the newest kernel. --> # 以下の指定によって Quake と QuakeWorld をデフォルトで提供します。このモジュールは Linux # の マスカレード・ボックスから内側の複数ユーザが存在する場合のためのものです。 # もし、Quake I, II, あるいは III を使いたいならば、２番目の例を使ってください。 # # 注意 - もし、QUAKE モジュールのロード時にエラーが出た場合は、古いバグの # ------ あるカーネルが動いています。 # その場合はより新しいカーネルに置き換えてください。 # #Quake I / QuakeWorld (ports 26000 and 27000) #/sbin/modprobe ip_masq_quake # #Quake I/II/III / QuakeWorld (ports 26000, 27000, 27910, 27960) #/sbin/modprobe ip_masq_quake 26000,27000,27910,27960 <!-- # Supports the masquerading of the CuSeeme video conferencing software --> # CuSeeme ビデオ会議ソフトウエアに対するマスカレードを提供 # #/sbin/modprobe ip_masq_cuseeme <!-- #Supports the masquerading of the VDO-live video conferencing software --> # VDO-Live ビデオ会議ソフトウエアに対するマスカレードを提供 # #/sbin/modprobe ip_masq_vdolive <!-- #CRITICAL: Enable IP forwarding since it is disabled by default since # # Redhat Users: you may try changing the options in # /etc/sysconfig/network from: # # FORWARD_IPV4=false # to # FORWARD_IPV4=true # --> #非常に重要 - IP フォワーディングはデフォルトでは無効になっているので、有効にします。 # # Redhat ユーザの場合は、/etc/sysconfig/network のオプション指定行を # # FORWARD_IPV4=false # から # FORWARD_IPV4=true # に変更してください。 # echo "1" > /proc/sys/net/ipv4/ip_forward <!-- #CRITICAL: Enable automatic IP defragmenting since it is disabled by default # in 2.2.x kernels # # This used to be a compile-time option but the behavior was changed # in 2.2.12. It should also be noted that some distributions have # removed this option from the /proc table. If this entry isn't # present in your /proc, don't worry about it. --> #非常に重要 - 2.2.x カーネルでは IP デフラグメンテーションのサポートはデフォルトでは無効です。 # # コンパイル時の指定によるものですが、2.2.12 カーネル以降は変更されています。 # また、ディストリビューションによっては /proc テーブルから # このオプションが除外されていることもありますので、その場合は # /proc ディレクトリに存在しなければ気にしなくても構いません。 # echo "1" > /proc/sys/net/ipv4/ip_always_defrag <!-- # Dynamic IP users: # # If you get your IP address dynamically from SLIP, PPP, or DHCP, enablethis # following option. This enables dynamic-ip address hacking in IP MASQ, # making the life with Diald and similar programs much easier. --> # 動的に割り当てられる IP アドレスを使用するユーザ向け - # # IP アドレスを SLIP, PPP, DHCP などから動的に取得する場合は、次のオプションを有効にしてください。 # このオプションは、IP マスカレードで動的 IP アドレスの操作を許可し、Diald や同様なプログラムの # 使用をより容易にするものです。 #echo "1" > /proc/sys/net/ipv4/ip_dynaddr <!-- # Enable the LooseUDP patch which some Internet-based games require # # If you are trying to get an Internet game to work through your IP MASQ box, # and you have set it up to the best of your ability without it working, try # enabling this option (delete the "#" character). This option is disabled # by default due to possible internal machine UDP port scanning # vunerabilities. --> # インターネットを必要とする、いくつかのプログラムに対する LooseUDP パッチを有効にする # # IP マスカレードを経由してインターネットゲームを動かそうとしていて、どうしてもそれが動かないという # のなら、このオプションを有効にしてみてください(以下の "#" を削除します)。UDP ポートスキャンに # 対する脆弱性の可能性があるので、このオプションはデフォルトで禁止されています。 # #echo "1" > /proc/sys/net/ipv4/ip_masq_udp_dloose <!-- # Specify your Static IP address here. --> # あなたの静的な IP アドレスを以下に指定します # <!-- # If you have a DYNAMIC IP address, you need to make this ruleset understand # your IP address everytime you get a new IP. To do this, enable the # following one-line script. (Please note that the different single and # double quote characters MATTER). --> # 動的に割り当てられる IP アドレスを使用するなら、新しい IP アドレスが割り当てられるたびに適用 # するように、ルールセットを書き換えなければなりません。そのためには、、以下のような一行のスクリプトを # 有効にする必要があります。（スクリプト例内の一重引用符と二重引用符の違いは意味を持ちますので注意） # # <!-- # DHCP users: # ----------- # If you get your TCP/IP address via DHCP, **you will need ** to enable the # #ed out command below underneath the PPP section AND replace the word # "ppp0" with the name of your EXTERNAL Internet connection (eth0, eth1, etc) # on the lines for "ppp-ip" and "extip". It should be also noted that the # DHCP server can change IP addresses on you. To fix this, users should # configure their DHCP client to re-run the firewall ruleset everytime the # DHCP lease is renewed. --> # DHCP を利用する場合 - # ----------- # TCP/IP アドレスを DHCP から取得する場合は、ppp セクションの下にある"#"でコメントアウトされた # 部分を有効にし、"ppp0" とある部分を、インターネット接続用のインタフェースの名前に置き換えなければ # なりません(たとえば、eth0 や eth1 などに）。 # DHCP は割り当てた IP アドレスを随時変更することに注意してください。この変更を正しく反映させるには # DHCP リースが更新されるたびに、DHCP クライアントを再度実行してファイアウオールルールセットを反映 # させなければなりません。 # <!-- # NOTE #1: Some DHCP clients like the original "pump" (the newer # versions have been fixed) did NOT have the ability to run # scripts after a lease-renew. Because of this, you need to # replace it with something like "dhcpcd" or "dhclient". --> # 注意 1 - いくつかの DHCP クライアントは古いバージョンの "pump" で（新しいバージョン # では問題点は修正されています）、それはリース更新後にスクリプトを実行することが # できないものです。その場合は、"dhcpcd" か "dhclient" に置き換えなければ # なりません。 # <!-- # NOTE #2: The syntax for "dhcpcd" has changed in recent versions. # # Older versions used syntax like: # dhcpcd -c /etc/rc.d/rc.firewall eth0 # # Newer versions use syntax like: # dhcpcd eth0 /etc/rc.d/rc.firewall --> # 注意 2 - "dhcpcd" は最近のバージョンでは、コマンド文法が変わっています。 # # 旧バージョンでの指定方法は、次のようなものでした - # dhcpcd -c /etc/rc.d/rc.firewall eth0 # # 新しいバージョンでは次のように指定します - # dhcpcd eth0 /etc/rc.d/rc.firewall # # <!-- # NOTE #3: For Pump users, put the following line in /etc/pump.conf: --> # 注意 3 - Pump を使う場合、/etc/pump.conf ファイルに次の記述を追加してください。 # # script /etc/rc.d/rc.firewall # <!-- # PPP users: # ---------- # If you aren't already aware, the /etc/ppp/ip-up script is always run when # a PPP connection comes up. Because of this, we can make the ruleset go and # get the new PPP IP address and update the strong firewall ruleset. # # If the /etc/ppp/ip-up file already exists, you should edit it and add a line # containing "/etc/rc.d/rc.firewall" near the end of the file. # # If you don't already have a /etc/ppp/ip-up sccript, you need to create the # following link to run the /etc/rc.d/rc.firewall script. # # ln -s /etc/rc.d/rc.firewall /etc/ppp/ip-up # # * You then want to enable the #ed out shell command below * --> # PPP を利用する場合 - # ---------- # お気づきではないかもしれませんが、PPP 接続が行われるたびに、/etc/ppp/ip-up スクリプトが # 常に動作します。このことを利用して、新しい IP アドレスの取得と強固なファイアウオール・ルール # セットの再設定を行います。 # # もし、/etc/ppp/ip-up がすでに存在しているなら、それを編集して"/etc/rc.d/rc.firewall" # という記述を最後のあたりに追加するようにしてください。 # # もし、/etc/ppp/ip-up スクリプトが存在しなかったなら、/etc/rc.d/rc.firewall スクリプト # を実行するための次のようなリンクを作成する必要があります。 # # ln -s /etc/rc.d/rc.firewall /etc/ppp/ip-up # # * 続いて、以下のコメントアウトされたシェルコマンドを必要に応じて有効にしてください * # <!-- # PPP and DHCP Users: # ------------------- # Remove the # on the line below and place a # in front of the line after that. --> # PPP 及び DHCP を利用する場合 - # ------------------- # 次の行の "#" を削除して、その次の行の先頭に "#" を入れてください。 #extip="`/sbin/ifconfig ppp0 | grep 'inet addr' | awk '{print $2}' | sed -e 's/.*://'`" <!-- # For PPP users with STATIC IP addresses: --> # 静的な IP アドレスで PPP を使う場合 - # extip="your.static.PPP.address" <!-- # ALL PPP and DHCP users must set this for the correct EXTERNAL interface name --> # PPP と DHCP を使う場合は、必ずこの部分に正しい外部インタフェースの名前を指定します extint="ppp0" <!-- # Assign the internal IP --> # 内部の IP アドレスの割り当てを指定します intint="eth0" intnet="192.168.0.0/24" <!-- # MASQ timeouts # # 2 hrs timeout for TCP session timeouts # 10 sec timeout for traffic after the TCP/IP "FIN" packet is received # 60 sec timeout for UDP traffic (MASQ'ed ICQ users must enable a 30sec # firewall timeout in ICQ itself) --> # マスカレードのタイムアウト # # 2 時間= TCP セッション # 10 秒　= TCP/IP の "FIN" パケットが受信されたあとのトラフィック # 60 秒　= UDP トラフィック (マスカレードされた環境での ICQ 利用者は ICQ 自体の設定の中で # 30秒のファイアウオールタイムアウトを指定しなければなりません) # # ipchains -M -S 7200 10 60 ############################################################################# <!-- # Incoming, flush and set default policy of reject. Actually the default policy # is irrelevant because there is a catch all rule with deny and log. --> # 到着パケットについて、既存のルールを破棄し、初期ポリシーを # 拒絶【訳注: reject】に設定。実際は、拒絶してログに記録する # 最終ルールを用意するので、このポリシーは動作には無関係になる。 # 【訳注: ルールを REJECT にすると、ルールに合致したパケットを破棄して、 # "destination-unreachable" (目的地に到達しない) という ICMP パケットを # 相手側 (送信元アドレスのマシン) に発信します。 # DENY にすると、"destination-unreachable" パケットも出さずに、受信した # パケットを単に破棄します。 # ipchains -F input ipchains -P input REJECT <!-- # local interface, local machines, going anywhere is valid --> # ローカルマシン側からローカルインタフェースに入るパケットは、どこに # 向かうものも有効とする。 # ipchains -A input -i $intint -s $intnet -d 0.0.0.0/0 -j ACCEPT <!-- # remote interface, claiming to be local machines, IP spoofing, get lost --> # リモートインタフェース側から入って来る IP スプーフィング【訳注: IP 偽装】 # パケットや迷子パケットは、本来ならローカルマシンからであるべきものなので、 # 拒絶する。 # ipchains -A input -i $extint -s $intnet -d 0.0.0.0/0 -l -j REJECT <!-- # remote interface, any source, going to permanent PPP address is valid --> # リモートインターフェースに入って来る、宛先アドレスが PPP アドレスの # パケットは、どの発信元アドレスからのものも有効とする。 # 【訳注: 以下のコマンドの前に、 # ipchains -A input -i $extint -S 0/0 -d $extip/32 -p tcp -y -j DENY -l # があるか、或は以下のコマンドが # ipchains -A input -i $extint -S 0/0 -d $extip/32 -p tcp ! -y -j ACCEPT # となっている方がより好ましいと思います。】 # ipchains -A input -i $extint -s 0.0.0.0/0 -d $extip/32 -j ACCEPT <!-- # loopback interface is valid. --> # ループバックインタフェースを有効とする # ipchains -A input -i lo -s 0.0.0.0/0 -d 0.0.0.0/0 -j ACCEPT <!-- # catch all rule, all other incoming is denied and logged. pity there is no # log option on the policy but this does the job instead. --> # 最終ルール。その他の到着パケットは拒絶され、ログに記録される。ポリシーには # ログ記録のためのオプションがないため、これがその役割を代わりに果たすことに # なる。 # ipchains -A input -s 0.0.0.0/0 -d 0.0.0.0/0 -l -j REJECT <!-- ############################################################################# # Outgoing, flush and set default policy of reject. Actually the default policy # is irrelevant because there is a catch all rule with deny and log. --> # 送出パケットについて、既存のルールを破棄し、初期ポリシーを # 拒絶【訳注: reject】に設定。実際は、拒絶してログに記録する最終ルールを # 用意するので、このポリシーは動作には無関係になる。 # ipchains -F output ipchains -P output REJECT <!-- # local interface, any source going to local net is valid --> # ローカルインタフェースから出力される、ローカルネットへ向かうパケットは # どこからのものも有効とする。 # ipchains -A output -i $intint -s 0.0.0.0/0 -d $intnet -j ACCEPT <!-- # outgoing to local net on remote interface, stuffed routing, deny --> # リモートインタフェース上でローカルネットへ送出されるパケットは、 # 偽装ルーティングなので、拒絶する。 # ipchains -A output -i $extint -s 0.0.0.0/0 -d $intnet -l -j REJECT <!-- # outgoing from local net on remote interface, stuffed masquerading, deny --> # リモートインタフェース上でローカルネットから送出されるパケットは、 # あり得ないマスカレーディングなので、拒絶する。 # ipchains -A output -i $extint -s $intnet -d 0.0.0.0/0 -l -j REJECT <!-- # anything else outgoing on remote interface is valid --> # リモートインタフェースからのそれ以外の送出パケットは有効 # ipchains -A output -i $extint -s $extip/32 -d 0.0.0.0/0 -j ACCEPT <!-- # loopback interface is valid. --> # ループバックインタフェースを有効とする。 # ipchains -A output -i lo -s 0.0.0.0/0 -d 0.0.0.0/0 -j ACCEPT <!-- # catch all rule, all other outgoing is denied and logged. pity there is no # log option on the policy but this does the job instead. --> # 最終ルール。その他の送出パケットは拒絶され、ログに記録される。 # ポリシーにはログ記録のためのオプションはないため、これがその役割を # 代わりに果たすことになる。 # ipchains -A output -s 0.0.0.0/0 -d 0.0.0.0/0 -l -j REJECT ############################################################################# <!-- # Forwarding, flush and set default policy of deny. Actually the default policy # is irrelevant because there is a catch all rule with deny and log. --> # 転送パケットについて、既存のルールを破棄し、初期ポリシーを # 否定【訳注: deny】に設定。実際は、否定してログに記録する最終ルールを # 用意するので、このポリシーは動作には無関係になる。 # ipchains -F forward ipchains -P forward DENY <!-- # Masquerade from local net on local interface to anywhere. --> # ローカルインタフェースでのローカルネットからその他の宛先へのパケットをマスカレードする # ipchains -A forward -i $extint -s $intnet -d 0.0.0.0/0 -j MASQ # <!-- # catch all rule, all other forwarding is denied and logged. pity there is no # log option on the policy but this does the job instead. --> # 最終ルール。その他の転送パケットは拒絶され、ログに記録される。 # ポリシーにはログ記録のためのオプションはないため、これがその役割を # 代わりに果たすことになる。 # ipchains -A forward -s 0.0.0.0/0 -d 0.0.0.0/0 -l -j REJECT <!-- #End of file. --> # ファイルの終わり </verb> ]]> <verb> #!/bin/sh # # /etc/rc.d/rc.firewall - やや強固な IPCHAINS ファイアウオール・ルールセット # PATH=/sbin:/bin:/usr/sbin:/usr/bin # 必要なすべての IP マスカレードモジュールをロードする # # 注意 - 必要な IP マスカレードモジュールだけをロードします。すべての IP マスカレードモジュールが # 以下に記述されていますが、ロードされないようにコメントとなっています。 # モジュールを最初にロードする時にまず必要 # /sbin/depmod -a # PORT 方式を使ってFTP ファイル転送における適切な IP マスカレードを提供します # /sbin/modprobe ip_masq_ftp # UDP プロトコルを経由した、RealAudio のマスカレードを提供します。このモジュールがなくても # RealAudio は TCP モードで動作しますが、音質は低下します。 # /sbin/modprobe ip_masq_raudio # IRC DCC ファイル転送のマスカレードを提供します # #/sbin/modprobe ip_masq_irc # 以下の指定によって Quake と QuakeWorld をデフォルトで提供します。このモジュールは Linux # の マスカレード・ボックスから内側の複数ユーザが存在する場合のためのものです。 # もし、Quake I, II, あるいは III を使いたいならば、２番目の例を使ってください。 # # 注意 - もし、QUAKE モジュールのロード時にエラーが出た場合は、古いバグの # ------ あるカーネルが動いています。 # その場合はより新しいカーネルに置き換えてください。 # #Quake I / QuakeWorld (ports 26000 and 27000) #/sbin/modprobe ip_masq_quake # #Quake I/II/III / QuakeWorld (ports 26000, 27000, 27910, 27960) #/sbin/modprobe ip_masq_quake 26000,27000,27910,27960 # CuSeeme ビデオ会議ソフトウエアに対するマスカレードを提供 # #/sbin/modprobe ip_masq_cuseeme # VDO-Live ビデオ会議ソフトウエアに対するマスカレードを提供 # #/sbin/modprobe ip_masq_vdolive #非常に重要 - IP フォワーディングはデフォルトでは無効になっているので、有効にします。 # # Redhat ユーザの場合は、/etc/sysconfig/network のオプション指定行を # # FORWARD_IPV4=false # から # FORWARD_IPV4=true # に変更してください。 # echo "1" > /proc/sys/net/ipv4/ip_forward #非常に重要 - 2.2.x カーネルでは IP デフラグメンテーションのサポートはデフォルトでは無効です。 # # コンパイル時の指定によるものですが、2.2.12 カーネル以降は変更されています。 # また、ディストリビューションによっては /proc テーブルから # このオプションが除外されていることもありますので、その場合は # /proc ディレクトリに存在しなければ気にしなくても構いません。 # echo "1" > /proc/sys/net/ipv4/ip_always_defrag # 動的に割り当てられる IP アドレスを使用するユーザ向け - # # IP アドレスを SLIP, PPP, DHCP などから動的に取得する場合は、次のオプションを有効にしてください。 # このオプションは、IP マスカレードで動的 IP アドレスの操作を許可し、Diald や同様なプログラムの # 使用をより容易にするものです。 #echo "1" > /proc/sys/net/ipv4/ip_dynaddr # インターネットを必要とする、いくつかのプログラムに対する LooseUDP パッチを有効にする # # IP マスカレードを経由してインターネットゲームを動かそうとしていて、どうしてもそれが動かないという # のなら、このオプションを有効にしてみてください(以下の "#" を削除します)。UDP ポートスキャンに # 対する脆弱性の可能性があるので、このオプションはデフォルトで禁止されています。 # #echo "1" > /proc/sys/net/ipv4/ip_masq_udp_dloose # あなたの静的な IP アドレスを以下に指定します # # 動的に割り当てられる IP アドレスを使用するなら、新しい IP アドレスが割り当てられるたびに適用 # するように、ルールセットを書き換えなければなりません。そのためには、、以下のような一行のスクリプトを # 有効にする必要があります。（スクリプト例内の一重引用符と二重引用符の違いは意味を持ちますので注意） # # # DHCP を利用する場合 - # ----------- # TCP/IP アドレスを DHCP から取得する場合は、ppp セクションの下にある"#"でコメントアウトされた # 部分を有効にし、"ppp0" とある部分を、インターネット接続用のインタフェースの名前に置き換えなければ # なりません(たとえば、eth0 や eth1 などに）。 # DHCP は割り当てた IP アドレスを随時変更することに注意してください。この変更を正しく反映させるには # DHCP リースが更新されるたびに、DHCP クライアントを再度実行してファイアウオールルールセットを反映 # させなければなりません。 # # 注意 1 - いくつかの DHCP クライアントは古いバージョンの "pump" で（新しいバージョン # では問題点は修正されています）、それはリース更新後にスクリプトを実行することが # できないものです。その場合は、"dhcpcd" か "dhclient" に置き換えなければ # なりません。 # # 注意 2 - "dhcpcd" は最近のバージョンでは、コマンド文法が変わっています。 # # 旧バージョンでの指定方法は、次のようなものでした - # dhcpcd -c /etc/rc.d/rc.firewall eth0 # # 新しいバージョンでは次のように指定します - # dhcpcd eth0 /etc/rc.d/rc.firewall # # # 注意 3 - Pump を使う場合、/etc/pump.conf ファイルに次の記述を追加してください。 # # script /etc/rc.d/rc.firewall # # PPP を利用する場合 - # ---------- # お気づきではないかもしれませんが、PPP 接続が行われるたびに、/etc/ppp/ip-up スクリプトが # 常に動作します。このことを利用して、新しい IP アドレスの取得と強固なファイアウオール・ルール # セットの再設定を行います。 # # もし、/etc/ppp/ip-up がすでに存在しているなら、それを編集して"/etc/rc.d/rc.firewall" # という記述を最後のあたりに追加するようにしてください。 # # もし、/etc/ppp/ip-up スクリプトが存在しなかったなら、/etc/rc.d/rc.firewall スクリプト # を実行するための次のようなリンクを作成する必要があります。 # # ln -s /etc/rc.d/rc.firewall /etc/ppp/ip-up # # * 続いて、以下のコメントアウトされたシェルコマンドを必要に応じて有効にしてください * # # PPP 及び DHCP を利用する場合 - # ------------------- # 次の行の "#" を削除して、その次の行の先頭に "#" を入れてください。 #extip="`/sbin/ifconfig ppp0 | grep 'inet addr' | awk '{print $2}' | sed -e 's/.*://'`" # 静的な IP アドレスで PPP を使う場合 - # extip="your.static.PPP.address" # PPP と DHCP を使う場合は、必ずこの部分に正しい外部インタフェースの名前を指定します extint="ppp0" # 内部の IP アドレスの割り当てを指定します intint="eth0" intnet="192.168.0.0/24" # マスカレードのタイムアウト # # 2 時間= TCP セッション # 10 秒　= TCP/IP の "FIN" パケットが受信されたあとのトラフィック # 60 秒　= UDP トラフィック (マスカレードされた環境での ICQ 利用者は ICQ 自体の設定の中で # 30秒のファイアウオールタイムアウトを指定しなければなりません) # # ipchains -M -S 7200 10 60 ############################################################################# # 到着パケットについて、既存のルールを破棄し、初期ポリシーを # 拒絶【訳注: reject】に設定。実際は、拒絶してログに記録する # 最終ルールを用意するので、このポリシーは動作には無関係になる。 # 【訳注: ルールを REJECT にすると、ルールに合致したパケットを破棄して、 # "destination-unreachable" (目的地に到達しない) という ICMP パケットを # 相手側 (送信元アドレスのマシン) に発信します。 # DENY にすると、"destination-unreachable" パケットも出さずに、受信した # パケットを単に破棄します。 # ipchains -F input ipchains -P input REJECT # ローカルマシン側からローカルインタフェースに入るパケットは、どこに # 向かうものも有効とする。 # ipchains -A input -i $intint -s $intnet -d 0.0.0.0/0 -j ACCEPT # リモートインタフェース側から入って来る IP スプーフィング【訳注: IP 偽装】 # パケットや迷子パケットは、本来ならローカルマシンからであるべきものなので、 # 拒絶する。 # ipchains -A input -i $extint -s $intnet -d 0.0.0.0/0 -l -j REJECT # リモートインターフェースに入って来る、宛先アドレスが PPP アドレスの # パケットは、どの発信元アドレスからのものも有効とする。 # 【訳注: 以下のコマンドの前に、 # ipchains -A input -i $extint -S 0/0 -d $extip/32 -p tcp -y -j DENY -l # があるか、或は以下のコマンドが # ipchains -A input -i $extint -S 0/0 -d $extip/32 -p tcp ! -y -j ACCEPT # となっている方がより好ましいと思います。】 # ipchains -A input -i $extint -s 0.0.0.0/0 -d $extip/32 -j ACCEPT # ループバックインタフェースを有効とする # ipchains -A input -i lo -s 0.0.0.0/0 -d 0.0.0.0/0 -j ACCEPT # 最終ルール。その他の到着パケットは拒絶され、ログに記録される。ポリシーには # ログ記録のためのオプションがないため、これがその役割を代わりに果たすことに # なる。 # ipchains -A input -s 0.0.0.0/0 -d 0.0.0.0/0 -l -j REJECT ############################################################################# # 送出パケットについて、既存のルールを破棄し、初期ポリシーを # 拒絶【訳注: reject】に設定。実際は、拒絶してログに記録する最終ルールを # 用意するので、このポリシーは動作には無関係になる。 # ipchains -F output ipchains -P output REJECT # ローカルインタフェースから出力される、ローカルネットへ向かうパケットは # どこからのものも有効とする。 # ipchains -A output -i $intint -s 0.0.0.0/0 -d $intnet -j ACCEPT # リモートインタフェース上でローカルネットへ送出されるパケットは、 # 偽装ルーティングなので、拒絶する。 # ipchains -A output -i $extint -s 0.0.0.0/0 -d $intnet -l -j REJECT # リモートインタフェース上でローカルネットから送出されるパケットは、 # あり得ないマスカレーディングなので、拒絶する。 # ipchains -A output -i $extint -s $intnet -d 0.0.0.0/0 -l -j REJECT # リモートインタフェースからのそれ以外の送出パケットは有効 # ipchains -A output -i $extint -s $extip/32 -d 0.0.0.0/0 -j ACCEPT # ループバックインタフェースを有効とする。 # ipchains -A output -i lo -s 0.0.0.0/0 -d 0.0.0.0/0 -j ACCEPT # 最終ルール。その他の送出パケットは拒絶され、ログに記録される。 # ポリシーにはログ記録のためのオプションはないため、これがその役割を # 代わりに果たすことになる。 # ipchains -A output -s 0.0.0.0/0 -d 0.0.0.0/0 -l -j REJECT ############################################################################# # 転送パケットについて、既存のルールを破棄し、初期ポリシーを # 否定【訳注: deny】に設定。実際は、否定してログに記録する最終ルールを # 用意するので、このポリシーは動作には無関係になる。 # ipchains -F forward ipchains -P forward DENY # ローカルインタフェースでのローカルネットからその他の宛先へのパケットをマスカレードする # ipchains -A forward -i $extint -s $intnet -d 0.0.0.0/0 -j MASQ # # 最終ルール。その他の転送パケットは拒絶され、ログに記録される。 # ポリシーにはログ記録のためのオプションはないため、これがその役割を # 代わりに果たすことになる。 # ipchains -A forward -s 0.0.0.0/0 -d 0.0.0.0/0 -l -j REJECT # ファイルの終わり </verb> <!-- To Do: 原文にブレあるがそのまま --> <!-- With IPCHAINS, you can block traffic to a particular site using the "input", "output", and/or "forward" rules. Remember that the set of rules are scanned t op to bottom and "-A" tells IPCHIANS to "append" this new rule to the existing set of rules. So with this in mind, any specific restrictions need to come bef ore global rules. For example: --> IPCHAINS では "input", "output", "forward" の各ルールにおいて、 特定のサイトへのトラフィックを阻止することができます。 このルールは上から下へと順に適用されていき、 "-A"オプションは IPCHAINS に 対して新しいルールを既存のルール群に対して「追加」するものだということに 注意してください。 これに留意すると、全体のルールを指定する前に他の個別の制限が必要と なってきます。 たとえば、次のようなものです - <p> <!-- Using "input" rules: --> "input" ルールを使う - <p> 【訳注: 全てのインターフェースに到着するパケットが通過するルールです。 個別のインターフェースの指定は、 -i オプションに続けてインターフェース名 を指定します。】 <p> <!-- Probably the fastest and most efficient method to block traffic but it only stops the MASQed machines and NOT the firewall machine itself. Of course you might want to allow that combination. --> これはおそらくトラフィックをブロックする為の、最も手っ取り早くて 効率の良い方法ですが、マスカレードされたマシンに対してのみ阻止でき、 ファイアウォールマシン自身へのトラフィックは阻止できません。 もちろん、この組み合わせを許可したいということもあるでしょうが。 <p> <!-- Anyway, to block 204.50.10.13: --> さて、 204.50.10.13 というアドレスへのトラフィックを阻止する場合 - <p> <!-- In the /etc/rc.d/rc.firewall ruleset: --> /etc/rc.d/rc.firewall ルールセットの中の <![ %codes CDATA [ <verb> <!-- ... start of "input" rules ... --> ... 入力 ルールのはじまり ... <!-- # reject and log local interface, local machines going to 204.50.10.13 --> # ローカルインタフェース側の 204.50.10.13 というマシンへのパケットを拒否する # ipchains -A input -s 192.168.0.0/24 -d 204.50.10.13/32 -l -j REJECT <!-- # local interface, local machines, going anywhere is valid --> #　ローカルインタフェース側のどのローカルマシンのどこへ向かうパケットも有効とする # ipchains -A input -s 192.168.0.0/24 -d 0.0.0.0/0 -l -j ACCEPT <!-- ... end of "input" rules ... --> ... 入力 ルールの終わり ... </verb> ]]> <verb> ... 入力 ルールのはじまり ... # ローカルインタフェース側の 204.50.10.13 というマシンへのパケットを拒否する # ipchains -A input -s 192.168.0.0/24 -d 204.50.10.13/32 -l -j REJECT #　ローカルインタフェース側のどのローカルマシンのどこへ向かうパケットも有効とする # ipchains -A input -s 192.168.0.0/24 -d 0.0.0.0/0 -l -j ACCEPT ... 入力 ルールの終わり ... </verb> <!-- Using "output" rules: --> "output" ルールを使う - <p> 【訳注: 全てのインターフェースから送出されるパケットが通過するルールです。 個別のインターフェースの指定は、 -i オプションに続けてインターフェース名 を指定します。】 <p> <!-- This is the slower method to block traffic because the packets must go through masquerading first before they are dropped. Yet, this rule even stops the firewall machine from accessing the forbidden site. --> これはトラフィックをブロックするには遅い方法です。 何故ならば、パケットは破棄されるより以前にマスカレードを通らなければ ならないからです。 しかしながらこのルールでも、禁止しているサイトからのファイアウォール マシンに対するアクセスを阻止することができます。 <![ %codes CDATA [ <verb> <!-- ... start of "output" rules ... --> ... 出力ルールの始まり ... <!-- # reject and log outgoing to 204.50.10.13 --> # 204.50.10.13 に向けられたパケットを拒否してログを採取する # ipchains -A output -s $ppp_ip/32 -d 204.50.10.13/32 -l -j REJECT <!-- # anything else outgoing on remote interface is valid --> # その他のリモートインタフェース側への送出は有効にする # ipchains -A output -s $ppp_ip/32 -d 0.0.0.0/0 -l -j ACCEPT <!-- ... end of "output" rules ... --> ... 出力ルールの終わり ... </verb> ]]> <verb> ... 出力ルールの始まり ... # 204.50.10.13 に向けられたパケットを拒否してログを採取する # ipchains -A output -s $ppp_ip/32 -d 204.50.10.13/32 -l -j REJECT # その他のリモートインタフェース側への送出は有効にする # ipchains -A output -s $ppp_ip/32 -d 0.0.0.0/0 -l -j ACCEPT ... 出力ルールの終わり ... </verb> <!-- Using "forward" rules: --> "forward" ルールを使う - <p> 【訳注: 全てのインターフェース上で転送されるパケットが通過するルールです。 個別のインターフェースの指定は、 -i オプションに続けてインターフェース名 を指定します。】 <p> <!-- Probably slower than "input" rules for blocking traffic, this still only stops masqueraded machines (e.g. internal machines). The firewall machine can still reach forbidden site(s). --> おそらく、トラフィックをブロックするには "input" ルールより 遅い方法ですが、マスカレードされたマシン (例えばローカルエリア ネットワークのマシン) に対するトラフィックだけは阻止できます。 ファイアウォールマシンは禁止したいサイトから到達可能のままです。 <![ %codes CDATA [ <verb> <!-- ... start of "forward" rules ... --> ... 転送ルールの開始 ... <!-- # Reject and log from local net on PPP interface to 204.50.10.13. --> # PPP インタフェース上での 204.50.10.13 に向けたパケットを拒否してログ採取する # ipchains -A forward -i ppp0 -s 192.168.0.0/24 -d 204.50.10.13/32 -l -j REJECT <!-- # Masquerade from local net on local interface to anywhere. --> # ローカルインターフェース側のローカルネットからのマスカレードを行う # ipchains -A forward -i ppp0 -s 192.168.0.0/24 -d 0.0.0.0/0 -j MASQ <!-- ... end of "forward" rules ... --> ... 転送ルールの終わり ... </verb> ]]> <verb> ... 転送ルールの開始 ... # PPP インタフェース上での 204.50.10.13 に向けたパケットを拒否してログ採取する # ipchains -A forward -i ppp0 -s 192.168.0.0/24 -d 204.50.10.13/32 -l -j REJECT # ローカルインターフェース側のローカルネットからのマスカレードを行う # ipchains -A forward -i ppp0 -s 192.168.0.0/24 -d 0.0.0.0/0 -j MASQ ... 転送ルールの終わり ... </verb> <!-- No need for a special rule to allow machines on the 192.168.0.0/24 network to go to 204.50.11.0. Why? It is already covered by the global MASQ rule. --> 192.168.0.0/24 のマシンから 204.50.11.0 に向けてのアクセスを許す特別なルールは不要です。 なぜなら、それらは全体的なマスカレーディングのルールによってまかなわれているからです。 <p> <!-- NOTE: Unlike IPFWADM, IPCHIANS has only one way of coding the interfaces name. IPCHAINS uses the "-i eth0" option where as IPFWADM had both "-W" for the interface name and "-V" for the interface's IP address. --> 注意 - IPFWADM と違って、IPCHAINS はインタフェース名を指定する方法が 一つしかありません。 IPCHAINS は "-i eth0" のように指定しますが、 IPFWADM では "-W"で インタフェース名を指定し、また "-V" でインタフェースのIPアドレスを指定します。 <label id="multiple-masqed-lans"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> IP Masquerading multiple internal networks --> <sect1> 複数の内部ネットワークへの IP マスカレード <p> <!-- Masquerading more than one internal network is fairly simple. You need to first make sure that all of your networks are running correctly (both internal and external). You then need to enable traffic to pass to both the other internal interfaces and to be MASQed to the Internet. --> 複数の内部ネットワークを持つ場合のマスカレードはかなり単純です。 まず確認することは、全ての (内部と外部両方の) ネットワークが正しく 動作していることです。 それから、両方の内部インタフェースについてインターネットと他の 内部インタフェースに対してマスカレードしてトラフィックを許可するように 設定します。 <p> <!-- Next, you need to enable Masquerading on the INTERNAL interfaces. This example uses a total of THREE interfaces: eth0 is the EXTERNAL connection to the Internet, eth1 is the 192.168.0.0 network, and eth2 is the 192.168.1.0 network. Both eth1 and eth2 will be MASQed out of interface eth0. In your rc.firewall ruleset next to the existing MASQ enable line, add the following: --> 続いて、内部インタフェースについて、マスカレードを許可します。 この例では、全部で３つのインタフェースを使います - eth0 はインターネットへの接続を行う外部インタフェース、 eth1 は 192.168.0.0 のネットワーク、そして eth2 は 192.168.1.0 のネットワークです。 rc.firewall ルールセットでの、既存のマスカレードを許可している行の 後に、次のような内容を追加します - <p> <itemize> <!-- <item>2.2.x kernels with IPCHAINS --> <item>IPCHAINS が利用可能な 2.2.x 系カーネルの場合 <![ %codes CDATA [ <verb> <!-- #Enable internal interfaces to communication between each other --> # 内部のインタフェースの間での相互の通信を許可する /sbin/ipchains -A forward -i eth1 -d 192.168.0.0/24 /sbin/ipchains -A forward -i eth2 -d 192.168.1.0/24 <!-- #Enable internal interfaces to MASQ out to the Internet --> # インターネットに対するマスカレードされた通信を許可する /sbin/ipchains -A forward -j MASQ -i eth0 -s 192.168.0.0/24 -d 0.0.0.0/0 /sbin/ipchains -A forward -j MASQ -i eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 </verb> ]]> <verb> # 内部のインタフェースの間での相互の通信を許可する /sbin/ipchains -A forward -i eth1 -d 192.168.0.0/24 /sbin/ipchains -A forward -i eth2 -d 192.168.1.0/24 # インターネットに対するマスカレードされた通信を許可する /sbin/ipchains -A forward -j MASQ -i eth0 -s 192.168.0.0/24 -d 0.0.0.0/0 /sbin/ipchains -A forward -j MASQ -i eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 </verb> <p> <!-- <item>2.0.x kernels with IPFWADM --> <item>IPFWADM が利用可能な 2.0.x 系カーネルの場合 <![ %codes CDATA [ <verb> <!-- #Enable internal interfaces to communication between each other --> # 内部のインタフェースの間での相互の通信を許可する /sbin/ipfwadm -F -a accept -V 192.168.0.1 -D 192.168.1.0/24 /sbin/ipfwadm -F -a accept -V 192.168.1.1 -D 192.168.0.0/24 <!-- #Enable internal interfaces to MASQ out to the Internet --> # インターネットに対するマスカレードされた通信を許可する /sbin/ipfwadm -F -a masq -W eth0 -S 192.168.0.0/24 -D 0.0.0.0/0 /sbin/ipfwadm -F -a masq -W eth0 -S 192.168.1.0/24 -D 0.0.0.0/0 </verb> ]]> <verb> # 内部のインタフェースの間での相互の通信を許可する /sbin/ipfwadm -F -a accept -V 192.168.0.1 -D 192.168.1.0/24 /sbin/ipfwadm -F -a accept -V 192.168.1.1 -D 192.168.0.0/24 # インターネットに対するマスカレードされた通信を許可する /sbin/ipfwadm -F -a masq -W eth0 -S 192.168.0.0/24 -D 0.0.0.0/0 /sbin/ipfwadm -F -a masq -W eth0 -S 192.168.1.0/24 -D 0.0.0.0/0 </verb> </itemize> <!-- Please note that it is CORRECT to have "eth0" specified multiple times for the exmples shown above. The reason for this is the Linux kernel needs to know which interface is used for OUTGOING traffic. Since eth0 in the above examples is the Internet connection, it is listed for each internal interface. --> eth0 が複数回指定されるのは、上の例では間違いではないことに注意してください。Linux カーネルは どのインタフェースが送出トラフィックに対して使われるのかを知る必要があるからです。上の例で eth0 は インターネットに対する接続のためのもので、それぞれの内部インタフェースについて指定されています。 <label id="Diald"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> IP Masquerade and Dial-on-Demand Connections --> <sect1> オンデマンド・ダイアルアップ接続での IP マスカレード <p> <enum> <!-- <item>If you would like to setup your network to automatically dial up the Internet, ether the <em>Diald</em> demand dial-up or new versions of the <em>PPPd</em> packages will be of great utility. Diald is the recommended solution due to its more granular configuration. --> <item>インターネットに対するダイアルアップ時に自動的にネットワークの設定を行いたいと思われるなら、 <em>Diald</em> デマンド・ダイアルアップ・サービスプログラムか、新しいバージョンの <em>PPPd</em> パッケージが非常に役立つでしょう。Diald はより緻密な設定ができるのでお勧めです。 <p> <!-- <item>To setup Diald, please check out the <url url="http://home.pacific.net.sg/˜harish/diald.config.html" name="Setting Up Diald for Linux Page"> or <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 23"> --> <item>Diald を設定するには <url url="http://home.pacific.net.sg/˜harish/diald.config.html" name="Setting Up Diald for Linux Page"> や <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 23"> を参照してみてください。 <p> <!-- <item>Once Diald and IP Masq have been setup properly, any MASQed client machines that initiate a web, telnet or ftp session will make the Linux box dynamically bring up its Internet link. --> <item>Diald と IP マスカレードが適切に設定されれば、マスカレードされたマシンからの Web 参照や telnet, ftp といったセッションが開始された時点で、Linux ボックスは動的にインターネットへの接続を 実行するようになります。 <p> <!-- <item>There is a timeout that will occur with the first connection. This is inevitable if you are using analog modems. The time taken to establish the modem link and the PPP connections may cause your client program (WWW browser, etc.). This isn't common though. If this does happen, just retry that Internet traffic request (say a WWW page) again and it should come up fine. You can also try setting <em>echo "1" > /proc/sys/net/ipv4/ip_dynaddr</em> kernel option to help with this initial setup. --> <item>最初の接続は、タイムアウトが発生するでしょう。 これはアナログモデムを使っている場合、避けられないことです。 クライアントのプログラム (Web ブラウザなど) にとってみれば、 PPP接続とモデムのリンクを確立するために時間が取られることになります。 しかし、これは一般的なことではありません。 もし、このような事が起こったら、 (Web ページの参照などの) インターネットに 対するトラフィックリクエストが再度発生したときに再度同じ事を繰り返して うまく動作するでしょう。 また、カーネルオプションの <em>echo "1" > /proc/sys/net/ipv4/ip_dynaddr</em> の実行は、接続時のこの初期設定を支援するためのものです。 </enum> <label id="Forwarders"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>IPPORTFW, IPMASQADM, IPAUTOFW, REDIR, UDPRED, and other Port Forwarding tools --> <sect1>IPPORTFW, IPMASQADM, IPAUTOFW, REDIR, UDPRED, 及びその他のポート転送ツール <p> <!-- IPPORTFW, IPAUTOFW, REDIR, UDPRED, and other programs are generic TCP and/or UDP port forwarding tools for Linux IP Masquerade. These tools are typically used with or as a replacement for specific IP MASQ modules like the current ones for FTP, Quake, etc. With port forwarders, you can now re-direct data connections from the Internet to an internal, privately addressed machine behind your IP MASQ server. This forwarding ability includes network protocols such as TELNET, WWW, SMTP, FTP (with a special patch - see below), ICQ, and many others. --> IPPORTFW, IPAUTOFW, REDIR, UDPRED 等のプログラムは Linux の IP マスカレード で使用される汎用的な TCP と UDP ポートの転送のために使われるツールです。 これらのツールは一般的に FTP や Quake 用に作成された IP マスカレード用の モジュールの代わりに使うことができます。 これらポートフォワーダによって、インターネットから IP マスカレードサーバの 元で動作するプライベートアドレスに配置されたマシンに向かって送られる データ接続をリダイレクトすることができます。 転送機能は、 TELNET, WWW, SMTP, FTP (後述する特別なパッチが必要です), ICQ や、その他多くのものを含んでいます。 <p> <!-- NOTE: If you are just looking to do simple port forwarding without IP Masquerading support, you will <bf>STILL NEED</bf> to enable IP Masquerading in both the kernel AND in either your IPFWADM or IPCHAINS ruleset to then be able to use Linux's port forwarding tools. --> 注意 - IP マスカレードを伴わない単純なポート転送をお求めでも、Linux の IP 転送ツールを使うには、カーネルと IPFWADM か IPCHAINS いずれかによる ルールセットが<bf>必要</bf>です。 <p> <!-- So why all the different choices? IPAUTOFW, REDIR, and UDPRED (all URLs are in the <ref id="2.0.x-Requirements"> section) were the first tools available to IP MASQ users to allow this functionality. Later, as Linux IP Masquerade matured, these tools were eventually replaced by IPPORTFW which is a more intelligent solution. Because of the availablity of the newer tools, it is *HIGHLY DISCOURAGED* to use the old tools such as IPAUTOFW and REDIR because they don't properly notify the Linux kernel of their presence and can ultimately <bf>CRASH</bf> your Linux server with extreme use. It should also be noted that there is also the newest method, MFW. MFW's major benefit its its tigher integration with the IPCHAINS tool. With this solution, you use a IPCHAINS ruleset to "Mark" a specific packet and then create a different chain to then do the proper forwarding. Currently, this method isn't covered in the HOWTO. --> ではなぜ異なる選択が幾つもあるのでしょうか? IPAUTOFW, REDIR それに UDPRED (これらへの URL は <ref id="2.0.x-Requirements" name="2.0.x カーネルの必要条件"> の章に記載してあります) などは、IP マスカレードを使うユーザにとって、 これらの機能を提供する最初のツール類でした。 その後、 Linux の IP マスカレード機能が成熟するにつれて、これらのツールは IPPORTFW という、もっと高度な解決方法にとって代わられるようになりました。 より新しいツールの登場によって、IPAUTOFW や REDIR という古いツールの ユーザは大いに落胆させられることになりました。 というのも、これらのツールは Linux カーネルに対して、自身の存在を適切に 通知することなく動いているので、負荷のかかるような状況では Linux サーバを クラッシュさせてしまうようなことすらあったからです。 MFW という最新の方法もあります。 MFW の最も大きな利点は、IPCHAINS ツールとの高い統合性です。 この方法では、IPCHAINS ルールセットは特定のパケットに対して印を付け、 適切な転送を行うためのルールを提供するために使われます。 今のところ、これについてはこの HOWTO では述べていません。 <p> <!-- <bf>NOTE #2: With PORTFW in 2.2.x kernels, <em>internal machines</em> CANNOT use the same PORTFWed IP address to access an internal machine though it works fine with external computers on the Internet. If this is an issue for you, you can ALSO impliment the REDIR portfw tool to let internal machines get redirected to the internal server. One good think to note is the upcoming <ref id="NetFilter"> toolset solves this issue. If you would like a technical explination of why this internal/external forwarding doesn't work, please page down towards the bottom of the 2.2.x PORTFW section for a note from Juan.</bf> --> <bf>注意 #2 - 2.2.x 系カーネルにおける PORTFW では、<em>ネットワーク内部の マシン</em>から、インターネット上にあるネットワーク外部のマシンに対する アクセスに同じポート転送された IP アドレスを使うことができますが、 ネットワーク内部の他のマシンに対しては使えません。 もし、これがあなたの場合に該当するなら、ネットワーク内部のサーバへの リダイレクトを行うために REDIR ポート転送ツールを試してみてください。 後に述べる <ref id="NetFilter"> ツールセットを使うのも良い考えだと思います。 なぜ内部/外部の転送が動かないのかの技術的説明については、2.2.x 系カーネルの PORTFW に関する章の最後にある Juan による注釈をご覧ください。</bf> <p> <!-- NOTE #3: The forwarding of FTP server traffic to an internal MASQed FTP server, known as <bf>PORTFW FTP</bf>, is now supported for both the 2.2.x and 2.2.x kernels. This is possible either through the patching the Linux kernel sources though the support is not currently built into the main Linux kernel or using an external FTP proxy program. It should be noted that the kernel module code is still experimental and some people get better results with ACTIVE FTP sessions compared to PASSIVE connections. Interestingly enough, other people have seen the exact opposite behavior. Please let us know what your results are like. More about this is covered below in both the 2.2.x and 2.0.x sections as the solutions use different patches. --> <!-- To Do: 2.2.xが２回でてくるが、どちらかが2.0.xのtypeだろう --> <!-- type は typo の typo でしょう。(笑) --> 注意 #3 - 内部のマスカレードされた FTP サーバに対するトラフィックの 転送は <bf>PORTFW FTP</bf> として知られていますが、現在 2.0.x 系と 2.2.x 系のいずれのカーネルでも提供されるようになりました。 現状では主流の Linux カーネルではサポートされていませんが、カーネル にパッチを適用するか、外部 FTP プロキシサーバによって可能となります。 カーネルモジュールコードはまだ実験中で、PASSIVE 接続よりは ACTIVE FTP セッションによる接続のほうが良好な結果となる場合もあるようです。 興味深いことに、逆の振る舞いで動くケースもあるようです。 あなたの場合の結果がどうだったか私たちに教えてください。 この件について、以降の2.0.x 系 及び 2.2.x 系それぞれの章に別な パッチを用いた解決方法が詳細に述べられています。 <!-- This is possible either through the patching the Linux kernel sources though the support is not currently built into the main Linux kernel or using an external FTP proxy program. either 〜 or 〜 の構文だと思います。 though the support is not currently built into the main Linux kernel は、 through the patching the Linux kernel sources を修飾しているから、これを抜かすと This is possible either through the patching the Linux kernel sources or using an external FTP proxy program. 「Linux カーネルソースにパッチを適用するか、或は外部の FTP プロキシサーバによって可能となります。」 となるのではないかと思います。(松田) --> <p> <p> <!-- Before jumping right into installing either the 2.0.x IPPORTFW or 2.2.x version of IPMASQADM with IPPORTFW support, network security can be an issue with any port forwarder. The reason for this is because these tools basically create a hole in the packet firewall for the forwarded TCP/UDP ports. Though this doesn't pose any threat to your Linux machine, it might be an issue to the internal machine that this traffic is being forwarded to. No worries though, this is what Steven Clarke (the author of IPPORTFW) had to say about that: --> 2.0.x 系カーネルの IPPORTFW でも、 2.2.x 系カーネルの IPPORTFW サポートの ある IPMASQADM を使う場合でも、ネットワークセキュリティに関する考慮は それらのポートフォワーダ組み込みの前に必要です。 なぜなら、これらのツールは基本的には転送された TCP/UDP ポートについて、 ファイアウォール上にセキュリティ上の穴を作るためのものだからです。 これは、あなたの Linux マシン【訳注: ファイアウオール自身】に対して 被害を及ぼすことはありませんが、トラフィックが転送される先の内部マシンに 対して影響をおよぼします。 とはいえ、そんなに心配しないでください。 これは Steven Clarke (IPPORTFW の作者) が注意を促すために述べなければ ならなかった、以下のような場合です - <p> <![ %codes CDATA [ <tscreen> <verb> <!-- "Port Forwarding is only called within masquerading functions so it fits inside the same IPFWADM/IPCHAINS rules. Masquerading is an extension to IP forwarding. Therefore, ipportfw only sees a packet if it fits both the input and masquerading ipfwadm rule sets." --> 「ポート転送は、IPFWADM や IPCHAINS ルールの内部からのみ呼び出されるように作られており、 IP マスカレードは、IP フォワーディングの一種の拡張と見なされる。 しかしながら、 IPPORTFW は IPFWADM ルールセットの到着及び送出マスカレードルールに適合する パケットだけについて、取り扱うようになっている。」 </verb> </tscreen> ]]> <tscreen> <verb> 「ポート転送は、IPFWADM や IPCHAINS ルールの内部からのみ呼び出されるように作られており、 IP マスカレードは、IP フォワーディングの一種の拡張と見なされる。 しかしながら、 IPPORTFW は IPFWADM ルールセットの到着及び送出マスカレードルールに適合する パケットだけについて、取り扱うようになっている。」 </verb> </tscreen> <!-- With this said, it's important to have a strong firewall ruleset. Please see the <ref id="Strong-IPFWADM-Rulesets"> and <ref id="Strong-IPCHAINS-Rulesets"> sections for more details on strong rulesets. --> ここで述べているのは、強固なファイアウオールルールセットの必要性なのです。 強固なルールセットについては <ref id="Strong-IPFWADM-Rulesets" name="強い IPFWADM のルールセット"> と <ref id="Strong-IPCHAINS-Rulesets" name="強い IPCHAINS のルールセット"> を参照してみてください。 <p> <!-- So, to install IPPORTFW forwarding support for either a 2.2.x or 2.0.x kernel, you need to re-compile the Linux kernel to support IPPORTFW. --> ですから、 IPPORTFW による転送サポートを 2.2.x または 2.0.x 系の カーネルにインストールするためには、IPPORTFW を利用できるように Linux カーネルを再コンパイルしなければなりません。 <itemize> <!-- <item>2.2.x kernel users will already have the IPPORTFW kernel option available via IPMASQADM --> <item>2.2.x 系カーネルをお使いの方は、すでに IPPORTFW カーネルオプションを、 IPMASQADMを通じて使うための手順で指定しているはずです。 <!-- <item>2.0.x users will need to apply a simple kernel option patch --> <item>2.0.x 系カーネルをお使いの方は、単純なカーネルオプションのパッチを適用する必要があります。 </itemize> <p> <!-- <sect2>IPMASQADM with IPPORTFW support on 2.2.x kernels --> <sect2>2.2.x 系カーネルでの、IPPORTFW サポートつき IPMASQADM <p> <!-- First, make sure you have the newest 2.2.x kernel uncompressed into /usr/src/linux. If you haven't already done this, please see the <ref id="Kernel-Compile"> section for full details. Next, download the "ipmasqadm.c" program from the <ref id="2.2.x-Requirements"> section into the /usr/src/ directory. --> まず最初に、最新の 2.2.x カーネル【訳注: 翻訳時点では 2.2.19 でした】を /usr/src/linuxディレクトリに展開します。 まだこの手順をやっていない方は、 <ref id="Kernel-Compile" name="カーネルのコンパイル"> の章の詳細を参照してください。 続いて、"ipmasqadm.c" プログラムを <ref id="2.2.x-Requirements" name="2.2.x カーネルの必要条件"> に述べている方法でダウンロードして入手し、 /usr/src/ ディレクトリに置きます。 <p> <!-- Next, you'll need to compile the 2.2.x kernel as shown in the <ref id="Kernel-Compile"> section. Be sure to say YES to the IPPORTFW option when you configure the kernel. Once the kernel compile is complete and you have rebooted, return to this section. --> 引き続いて、 2.2.x 系カーネルを <ref id="Kernel-Compile" name="カーネルのコンパイル"> の章に示されているようにコンパイルします。 カーネルのオプションを設定する際に、IPPORTFW オプションには YES を 指定してください。 カーネルがコンパイルでき、再起動を確認したら、再びこの章に 戻って説明の続きを読んでください。 <p> <!-- Now, compile and install the IPMASQADM tool: --> では、 IPMASQADM ツールのコンパイルとインストールを行います - <p> <tscreen> <verb> cd /usr/src tar xzvf ipmasqadm-x.tgz cd ipmasqadm-x make make install </verb> </tscreen> <p> <!-- Now, for this example, we are going to allow ALL WWW Internet traffic (port 80) hitting your Internet TCP/IP address to then be forwarded to the internal Masqueraded machine at IP address 192.168.0.10. --> さて、例としてここで、あなたのインターネット上の TCP/IP アドレスに対する 全ての WWW インターネットトラフィック (ポート80) を、内部のマスカレードされた マシンの IP アドレス、 192.168.0.10 に向ける場合を取り上げます。 <p> <!-- PORTFW FTP: As mentioned above, there are two solutions for forwarding FTP server traffic to an internal MASQed PC. The first solution *IS* a BETA level <em>IP_MASQ_FTP</em> module for 2.2.x kernels to PORT Forward FTP connections to an internal MASQed FTP server. The other method is using a FTP proxy program (the URL is in the <ref id="2.2.x-Requirements"> section. It should also be noted that the FTP kernel module also supports the adding of additional PORTFW FTP ports on the fly without the requirement of unloading and reloaded the IP_MASQ_FTP module and thus breaking any existing FTP transfers. You can find more about this new code at the IPMASQ WWW site at <url url="http://ipmasq.cjb.net">. There is also examples and some more information about PORTFWed FTP connection below in the 2.0.x. kernel section. --> PORTFW FTP - これについては先に説明したように、 FTP サーバに対する ネットワーク内部のマスカレードされたマシンへの転送は 2つの方法があります。 最初の方法はまだベータレベルですが、内部にあるマスカレードされた FTP サーバへ、 FTP 接続をポート転送する 2.2.x カーネル用の <em>IP_MASQ_FTP</em> モジュールを使うことです。 もう一つの方法は、 FTP プロキシプログラム ( <ref id="2.2.x-Requirements" name="2.2.x カーネルの必要条件"> の章に URL を記載してあります) です。 FTP カーネルモジュールについては、 IP_MASQ_FTP モジュールをアンロードしたり 再ロードすることなしに、 PORTFW の FTP ポートを動的に追加することが できますが、これはその時点で存在している他の FTP 転送を無効にしてしまいます。 この新しいコードの詳細については、 IP マスカレードの web サイト <url url="http://ipmasq.cjb.net/"> をご覧ください。 また、 2.0.x 系カーネルの章に、ポート転送された FTP 接続に関する例と 若干の情報があります。 <p> <!-- <bf>NOTE: </bf>Once you enable a port forwarder on port 80, that port can no longer be used by the Linux IP Masquerade server. To be more specific, if you have a WWW server already running on the MASQ server, a port forward will now give all Internet users the WWW pages from the -INTERNAL- WWW server and not the pages on your IP MASQ server. --> <bf>注意 - </bf>ポート転送をポート 80 で有効にしたなら、それ以降は IP マスカレードサーバでそのポートを使うことはできなくなります。 つまり、マスカレードサーバ上ですでに Web サーバを動かしていた場合は、 ポート転送によって、すべてのインターネットからの Web アクセスは IP マスカレードサーバのページではなく、内部の Web サーバに対して 振り向けられてしまうのです。 <p> <!-- Anyway, to enable port forwarding, edit the /etc/rc.d/rc.firewall ruleset. Add the follow lines but be sure to replace the word "$extip" with your Internet IP address. --> いずれにせよ、ポート転送を有効にするには、 /etc/rc.d/rc.firewall のルールセットを書き換えなければ いけません。以下のような行を追加しますが、"$extip" の部分はあなたのインターネットに公開する IP アドレス を指定するように書き換えてください。 <p> <!-- <bf>NOTE:</bf> If you use get a DYNAMIC TCP/IP address from your ISP (PPP, ADSL, Cablemodems, etc.), you will NEED to make your /etc/rc.d/rc.firewall ruleset more intelligent. To do this, please see the <ref id="Strong-IPCHAINS-Rulesets"> section from above or <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> for more details on strong rulesets and Dynamic IP addresses. I'll give you a hint though: /etc/ppp/ip-up for PPP users. --> <bf>注意 - </bf>もし、PPP, ADSL, ケーブルモデムなどにより ISP から 動的な TCP/IP アドレスを割り当てられている場合は、 /etc/rc.d/rc.firewall ルールセットをもっとインテリジェントに作成する必要があります。 そのための情報は、前出の <ref id="Strong-IPCHAINS-Rulesets" name="強い IPCHAINS のルールセット"> の章か <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> に強固なルールセットを動的な IP アドレス環境で 作成する詳細が述べられています。 ここではヒントだけ - PPPの 場合は　/etc/PPP/ip-up です。 <p> <![ %codes CDATA [ <tscreen> <verb> /etc/rc.d/rc.firewall -- <!-- #echo "Enabling IPPORTFW Redirection on the external LAN.." --> #echo "IPPORTFW によるリダイレクションを外部 LAN に適用.." # /usr/sbin/ipmasqadm portfw -f /usr/sbin/ipmasqadm portfw -a -P tcp -L $extip 80 -R 192.168.0.10 80 -- </verb> </tscreen> ]]> <tscreen> <verb> /etc/rc.d/rc.firewall -- #echo "IPPORTFW によるリダイレクションを外部 LAN に適用.." # /usr/sbin/ipmasqadm portfw -f /usr/sbin/ipmasqadm portfw -a -P tcp -L $extip 80 -R 192.168.0.10 80 -- </verb> </tscreen> <p> <!-- That's it! Just re-run your /etc/rc.d/rc.firewall ruleset and test it out! --> これだけです！ /etc/rc.d/rc.firewall ルールセットを再度実行してテストしてみてください。 <p> <!-- If you get the error message "ipchains: setsockopt failed: Protocol not available", you AREN'T running your new kernel. Make sure that you moved the new kernel over, re-run LILO, and then reboot again. If you are sure you are running your new kernel, run the command "ls /proc/net/ip_masq" and make sure the "portfw" file exists. If it doesn't, you must have made an error when configuring your kernel. Try again. --> もし、"ipchains: setsockopt failed: Protocol not available" という エラーメッセージを受け取ってしまったら、あなたはまだ新しいカーネルを 動作できていません。 新しいカーネルを正しく組み込んだことを確認し、 LILO を再度実行し、 再起動してみてください。 もし、新しいカーネルが動いているのが確実ならば、 "ls /proc/net/ip_masq" コマンドを実行して、 "portfw" ファイルが存在しているか確認してください。 これが無いなら、カーネルの構築でなにかエラーが出ているはずですので、 そこからもう一度やり直してください。 <p> <!-- For those who want to understand why PORTFW cannot redirect traffic for both external and internal interfaces, here is an email from Juanjo that better explains it: --> なぜ PORTFW が外部と内部のインタフェースの双方でトラフィックをリダイレクト できないのか理解したい方のために、 Juanjo 【訳注: IP_MASQ_FTP モジュールの 作者】からのメールをここでお見せします。 彼はもっとうまく説明してくれています - <![ %codes CDATA [ <code> From Juanjo Ciarlante -- <!-- >If I use: > > ipmasqadm portfw -a -P tcp -L 1.2.3.4 80 -R 192.168.2.3 80 > >Everything works great from the outside but internal requests for the same >1.2.3.4 address fail. Are there chains that will allow a machine on localnet >192.168.2.0 to accesss www.periapt.com without using a proxy? --> >次のような場合 - > >ipmasqadm portfw -a -P tcp -L 1.2.3.4 80 -R 192.168.2.3 80 > >外部からの接続は問題なく動くけれど、内部から同じ 1.2.3.4 に対する >接続要求は失敗します。 >ローカルネットの 192.168.2.0 から www.periapt.com へのアクセスを、 >プロキシなしで許可するようなチェインを用意することはできますか? <!-- 質問者のメールの引用ですので、ですます調にしました。(松田) --> <!-- Actually not. --> 実際のところできないね。 <!-- I usually setup a ipmasqadm rule for outside, *AND* a port redirector for inside. This works because ipmasqadm hooks before redir will get the eventual outside connection, _but_ leaves things ok if not (stated by APPROPIATE rules). --> 大概、僕は ipmasqadm ルールを外部の為に設定し、*そして* ポートリダイレクタを内部のために設定しているんだ。 リダイレクションの前に ipmasqadm のフックがあるから、このフックは外部 からの接続の発生を捉える。 _だけど_ そうでない場合は、何もしないで素通ししてしまう(つまり、適当な ルールの適用が行われる)。 <!-- The actual "conceptual" problem comes from the TRUE client (peer) IP goal (thanks to masq) being in same net as target server. The failing scenario for "local masq" is : client: 192.168.2.100 masq: 192.168.2.1 serv: 192.168.2.10 --> 実際、"概念的な"問題は、真のクライアント (ピア) の IP パケットの 到達先が、 (ありがたいことにマスカレードによって) 目的のサーバとして 同じネットワークに存在していることに起因する。 失敗する"ローカルなマスカレード"というのは次のような場合 - クライアント: 192.168.2.100 マスカレード: 192.168.2.1 サーバ: 192.168.2.10 <!-- 1)client->server packet a) client: 192.168.2.100:1025 -> 192.168.2.1:80 [SYN] b) (masq): 192.168.2.100:1025 -> 192.168.2.10:80 [SYN] (and keep 192.168.2.1:61000 192.168.2.100:1025 related) c) serv: gets masqed packet (1b) --> 1)クライアントからサーバへのパケット a) クライアント: 192.168.2.100:1025 -> 192.168.2.1:80 [SYN] b) (マスカレード): 192.168.2.100:1025 -> 192.168.2.10:80 [SYN] (そして、 192.168.2.1:61000 と 192.168.2.100:1025 が 関連づけられて記憶される) c) サーバ: マスカレードされたパケットを受ける (1b) <!-- 2)server->client packet a) serv: 192.168.2.10:80 -> 192.168.2.100:1025 [SYN,ACK] b) client: 192.168.2.100:1025 -> 192.168.2.10:80 [RST] --> 2)サーバからクライアントへのパケット a) サーバ: 192.168.2.10:80 -> 192.168.2.100:1025 [SYN,ACK] b) クライアント: 192.168.2.100:1025 -> 192.168.2.10:80 [RST] <!-- Now take a moment to compare (1a) with (2a). You see, the server replied DIRECTLY to client bypassing masq (not letting masq to UNDO the packet hacking) because it is in SAME net, so the client resets the connection. --> さあ、 (1a) と (2a) を比べてごらん。 見ての通り、同じネットワークに存在するもの同士だと、サーバは マスカレードを通らずに直接クライアントに向けて応答するんだ。 (サーバがマスカレードにパケット操作を元に戻させるようなことはしない) だから、クライアントは接続をリセットしてしまう。 <!-- hope I helped. --> これが役に立つとうれしいよ。 <!-- warm regarding, --> よろしく Juanjo </code> ]]> <code> From Juanjo Ciarlante -- >次のような場合 - > >ipmasqadm portfw -a -P tcp -L 1.2.3.4 80 -R 192.168.2.3 80 > >外部からの接続は問題なく動くけれど、内部から同じ 1.2.3.4 に対する >接続要求は失敗します。 >ローカルネットの 192.168.2.0 から www.periapt.com へのアクセスを、 >プロキシなしで許可するようなチェインを用意することはできますか? 実際のところできないね。 大概、僕は ipmasqadm ルールを外部の為に設定し、*そして* ポートリダイレクタを内部のために設定しているんだ。 リダイレクションの前に ipmasqadm のフックがあるから、このフックは外部 からの接続の発生を捉える。 _だけど_ そうでない場合は、何もしないで素通ししてしまう(つまり、適当な ルールの適用が行われる)。 実際、"概念的な"問題は、真のクライアント (ピア) の IP パケットの 到達先が、 (ありがたいことにマスカレードによって) 目的のサーバとして 同じネットワークに存在していることに起因する。 失敗する"ローカルなマスカレード"というのは次のような場合 - クライアント: 192.168.2.100 マスカレード: 192.168.2.1 サーバ: 192.168.2.10 1)クライアントからサーバへのパケット a) クライアント: 192.168.2.100:1025 -> 192.168.2.1:80 [SYN] b) (マスカレード): 192.168.2.100:1025 -> 192.168.2.10:80 [SYN] (そして、 192.168.2.1:61000 と 192.168.2.100:1025 が 関連づけられて記憶される) c) サーバ: マスカレードされたパケットを受ける (1b) 2)サーバからクライアントへのパケット a) サーバ: 192.168.2.10:80 -> 192.168.2.100:1025 [SYN,ACK] b) クライアント: 192.168.2.100:1025 -> 192.168.2.10:80 [RST] さあ、 (1a) と (2a) を比べてごらん。 見ての通り、同じネットワークに存在するもの同士だと、サーバは マスカレードを通らずに直接クライアントに向けて応答するんだ。 (サーバがマスカレードにパケット操作を元に戻させるようなことはしない) だから、クライアントは接続をリセットしてしまう。 これが役に立つとうれしいよ。 よろしく Juanjo </code> <!-- <sect2>IPPORTFW on 2.0.x kernels --> <sect2>2.0.x 系カーネルでの IPPORTFW <p> <!-- First, make sure you have the newest 2.0.x kernel uncompressed into /usr/src/linux. If you haven't already done this, please see the <ref id="Kernel-Compile"> section for full details. Next, download the "ipportfw.c" program and the "subs-patch-x.gz" kernel patch from the <ref id="2.0.x-Requirements"> section into the /usr/src/ directory. --> 最初に、/usr/src/linux ディレクトリに最新の 2.0.x 系カーネルがあることを 確認してください。 まだだった場合の詳細については、 <ref id="Kernel-Compile" name="カーネルのコンパイル"> の章を参照してください。 続いて、 "ipportfw.c" プログラムと "subs-patch-x.gz" カーネルパッチを <ref id="2.0.x-Requirements" name="2.0.x カーネルの必要条件"> の章を参照して入手し、 /usr/src/ ディレクトリに 置きます。 <p> <!-- NOTE: Please replace the "x" in the "subs-patch-x.gz" file name with the most current version available on the site. --> 注意 - "subs-patch-x.gz" の "x" はサイトで入手できる最新のバージョン番号に 読み替えてください。 <p> <!-- Next, if you plan on port forwarding FTP traffic to an internal server, you will have to apply an additional <bf>NEW</bf> <em>IP_MASQ_FTP</em> module patch found in the <ref id="2.0.x-Requirements"> section. More details regarding this are later in this section. Please note that this is NOT the same patch as for the 2.2.x kernels so some functionality such as the dynamic FTP PORT functionality is not present. --> 次に、内部サーバへの FTP トラフィックのポート転送を考えているなら、 <ref id="2.0.x-Requirements" name="2.0.x カーネルの必要条件"> の章にある、<bf>新しい</bf> <em>IP_MASQ_FTP</em> モジュールのパッチを入手してください。 これは2.2.x 系カーネルとは違うパッチで、動的に FTP ポートを割り当てる 機能などは提供されていないことにご注意ください。 <!-- additional は敢えて訳から外しました。 「追加の新しい IP_MASQ_FTP モジュールのパッチ」と書くと、 何か変ですから。(松田) --> <p> <p> <!-- Now, copy the IPPORTFW patch (subs-patch-x.gz) into the Linux directory --> それから、IPPORTFW パッチ(subs-patch-x.gz)を Linux ディレクトリにコピーします。 <tscreen> <verb> cp /usr/src/subs-patch-1.37.gz /usr/src/linux </verb> </tscreen> <p> <!--Next, apply the kernel patch to create the IPPORTFW kernel option: --> つづいて、IPPORTFW カーネルオプションを作るためにパッチを適用します。 <tscreen> <verb> cd /usr/src/linux zcat subs-patch-1.3x.gz | patch -p1 </verb> </tscreen> <p> <!-- Ok, time to compile the kernel as shown in the <ref id="Kernel-Compile"> section. Be sure to say YES to the IPPORTFW option now available when you configure the kernel. Once the compile is complete and you have rebooted, return to this section. --> よろしい。 <ref id="Kernel-Compile" name="カーネルのコンパイル"> の章に示されているように、カーネルをコンパイルしましょう。 カーネルの構成時に有効になった IPPORTFW オプションをここでは YES に 設定してください。 コンパイルが完了し、再起動したなら、この章の説明を続けます。 <p> <!-- Now with a newly compiled kernel, please compile and install the actual "IPPORTFW" program --> 新しくコンパイルされたカーネルを使って、実際の"IPPORTFW" プログラムをインストールします。 <tscreen> <verb> cd /usr/src gcc ipportfw.c -o ipportfw mv ipportfw /usr/local/sbin </verb> </tscreen> <p> <!-- Now, for this example, we are going to allow ALL WWW Internet traffic (port 80) hitting your Internet TCP/IP address to then be forwarded to the internal Masqueraded machine at IP address 192.168.0.10. --> さて、この例ではあなたのインターネット上の TCP/IP アドレスに対する 全ての WWW インターネットトラフィック (ポート80) を内部のマスカレードされた マシンの IP アドレス、 192.168.0.10 に向ける場合を取り上げます。 <p> <!-- <bf>NOTE:</bf> Once you enable a port forwarder on port 80, that port can no longer be used by the Linux IP Masquerade server. To be more specific, if you have a WWW server already running on the MASQ server and then you port forward port 80 to an internal MASQed computer, ALL internet users will see the WWW pages pages from the -INTERNAL- WWW server and not the pages on your IP MASQ server. The only work around for this is to port forward some other port, say 8080, to your internal MASQ machine. Though this will work, all Internet users will have to append <em>:8080</em> to the URL to then contact the internal MASQed WWW server. --> <bf>注意 - </bf> ポート 80 でポート転送を有効にすると、 Linux IP マスカレードサーバからはそのポートは使えなくなります。 つまり、もし予めマスカレードサーバ上で WWW サーバが動作していたとして、 そのサーバで内部のマスカレードされたコンピュータへのポート 80 での転送を 行ったならば、全てのインターネット上のユーザはマスカレードサーバ上の ページではなく、-内部の- WWW サーバ上のページを見ることになります。 これを回避するための唯一の方法は、たとえば 8080 のような別なポートで 転送をかけることです。 これで動作はできますが、内部のマスカレードされた WWW サーバに対する アクセスに対して、全てのインターネット上のユーザは <em>:8080</em> という文字を URL に追加しなければなりません。 <p> <!-- Anyway, to enable port forwarding, edit the <em>/etc/rc.d/rc.firewall</em> ruleset. Add the follow lines but be sure to replace the word "$extip" with your Internet IP address. --> いずれにせよ、ポート転送を有効にするには、<em>/etc/rc.d/rc.firewall</em> ルールセットを 編集しなければなりません。そして、次のような行を追加し "$extip" という文字列を あなたのインターネット上の IP アドレスに置き換えなければなりません。 <p> <!-- <bf>NOTE:</bf> If you use get a DYNAMIC TCP/IP address from your ISP (PPP, ADSL, Cablemodems, etc.), you will NEED to make your /etc/rc.d/rc.firewall ruleset more intelligent. To do this, please see the <ref id="Strong-IPCHAINS-Rulesets"> section from above or <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> for more details on strong rulesets and Dynamic IP addresses. I'll give you a hint though: /etc/ppp/ip-up for PPP users. --> <bf>注意 - </bf> もし、 PPP や ADSL や ケーブルモデムなどのような形で ISP から動的な IP アドレス割り当てを受けているならば、 /etc/rc.d/rc.firewall ルールセットはもっと知的に動作するよう作成しなければなりません。 そのためには、既出の <ref id="Strong-IPCHAINS-Rulesets" name="強い IPCHAINS のルールセット"> の章か、 <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> を参照して、強固なルールと動的な IP アドレス割り当てに関する情報を 参照してください。 ここではちょっとしたヒントだけを - PPP ユーザでは /etc/ppp/ip-up です。 <p> <![ %codes CDATA [ <tscreen> <verb> /etc/rc.d/rc.firewall -- <!-- #echo "Enabling IPPORTFW Redirection on the external LAN.." --> #echo "IPPORTFW によるリダイレクションを外部 LAN について有効に .." # /usr/local/sbin/ipportfw -C /usr/local/sbin/ipportfw -A -t$extip/80 -R 192.168.0.10/80 <!-- #Please note that PORTFWing port 20 is NOT required for ACTIVE # connections as the internal FTP server will initiate this # port 20 connection and it will be properly handled by the # classic MASQ mechanisms. --> # ポート 20 に対するポート転送は動作中の接続に対しては不要です。 # 内部にある FTP サーバはポート 20 番での接続を開始して、既存のやり方での # マスカレードされたコンピュータを取り扱うことができます。 -- </verb> </tscreen> ]]> <tscreen> <verb> /etc/rc.d/rc.firewall -- #echo "IPPORTFW によるリダイレクションを外部 LAN について有効に .." # /usr/local/sbin/ipportfw -C /usr/local/sbin/ipportfw -A -t$extip/80 -R 192.168.0.10/80 # ポート 20 に対するポート転送は動作中の接続に対しては不要です。 # 内部にある FTP サーバはポート 20 番での接続を開始して、既存のやり方での # マスカレードされたコンピュータを取り扱うことができます。 -- </verb> </tscreen> <p> <!-- That's it! Just re-run your /etc/rc.d/rc.firewall ruleset and test it out! --> これだけです！ /etc/rc.d/rc.firewall ルールセットを再度動かしてテストしましょう！ <p> <!-- If you get the error message "ipfwadm: setsockopt failed: Protocol not available", you AREN'T running your new kernel. Make sure that you moved the new kernel over, re-run LILO, and then reboot again. --> もしも、"ipfwadm: setsockopt failed: Protocol not available" というエラーメッセージが 出てしまった場合は、あなたはまだ新しいカーネルを動作させていないことになります。 新しいカーネルファイルを適切な場所に移動させて、LILO コマンドを再実行し、システムを 再起動させてください。 <p> <!-- Port Forwarding FTP servers: --> FTP サーバに対するポート転送 - <p> <!-- If you plan on port forwarding FTP to an internal machine, things get more complicated. The reason for this is because the standard <em>IP_MASQ_FTP</em> kernel module wasn't written for this though some users report that it works without any problems. Personally, without the patch, I've heard that extended file transfers in excess of 30 minutes will fail without the patch while other people swear that it works flawlessly. Anyway, I recommend that you try the following PORTFW instruction with the STOCK ip_masq_ftp module and see if it works for you. If it doesn't, try using the modified ip_masq_ftp module. --> もし内部ネットワークに存在する FTP サーバへのポート転送を考えているなら、事態は より複雑になります。というのも、標準的な <em>IP_MASQ_FTP</em> カーネルモジュールは このような動作のためには作られていないにも関らず、何人かのユーザからは問題なく動いて いるという報告があるからです。私の知るかぎり、パッチをあてない状態では 30 分を越える 転送時間を要する場合においては、問題がないと言っているユーザでも転送は失敗すると 思います。どちらにせよ、既存の ip_masq_ftp モジュールを使った次のようなポート転送の 方法を試みて、あなたの環境で動くかどうか確かめて見ることをお薦めします。 もしそれが動かないならば、改良された ip_masq_ftp モジュールを試しましょう。 <p> <!-- For those who need the module, Fred Viles wrote a modified IP_MASQ_FTP module to make things work. If you are curious what EXACTLY is the issues, download the following archive since Fred documents it quite well. Also understand that this patch is somewhat experimental and should be treated as such. It should be also noted that this patch is ONLY available for the 2.0.x kernels though there is a different patch available for 2.2.x kernels. --> Fred Viles はポート転送が動作するように改良した IP_MASQ_FTP モジュールを、それら を必要とするユーザのために作成しています。このモジュールが使えるかどうかを調べたい なら、次のアーカイブをダウンロードしてみてください。Fred の作成した文書では 詳細に述べられています。また、このパッチはあくまで実験的なものなのでそのつもりで 扱ってください。さらに、2.0 系カーネルから 2.2 系カーネルまでのいくつかのパッチしか 存在していません。 <p> <p> <!-- So, to get the 2.0.x patch working, you need to: --> さて、2.0 系カーネル用のパッチを動かすためには、次の事項が必要です - <itemize> <!-- <item>Apply the IPPORTFW kernel patch as shown earlier in this section FIRST. --> <item>この章の最初に説明したように、IPPORTFW カーネルパッチを適用します。 <p> <!-- <item>Download the "msqsrv-patch-36" from Fred Viles's FTP server in the <ref id="2.0.x-Requirements"> section and put it into /usr/src/linux. --> <item>"msqsrv-patch-36" パッチを <ref id="2.0.x-Requirements" name="2.0.x カーネルの必要条件"> の章にある Fred Viles の FTP サーバから取ってきて、/usr/src/linux に置きます。 <p> <!-- <item>Patch the kernel with this new code by running "cat msqsrv-patch-36 | patch -p1" --> <item>"cat msqsrv-patch-36 | patch -p1" を実行して、新しいコードをカーネルに適用します。 <p> <!-- <item>Next, replace the original <em>"ip_masq_ftp.c"</em> kernel module with the new one --> <item>つづいて、オリジナルの <em>"ip_masq_ftp.c"</em> カーネルモジュールを新しいものに 置き換えます。 <p> <itemize> <item>mv /usr/src/linux/net/ipv4/ip_masq_ftp.c /usr/src/linux/net/ipv4/ip_masq_ftp.c.orig <item>mv /usr/src/linux/ip_masq_ftp.c /usr/src/linux/net/ipv4/ip_masq_ftp.c </itemize> <p> <!-- <item>Lastly build and install the kernel with this new code in place. --> <item>最後に、新しいコードを含んだカーネルをビルドしてインストールします。 </itemize> <p> <!-- Once this is complete, edit the /etc/rc.d/rc.firewall ruleset and add the follow lines but be sure to replace the word "$extip" with your Internet IP address. --> この作業を終えてから、/etc/rc.d/rc.firewall ルールセットを編集して、次のような行を追加 しますが、"$extip"の部分は外部 IP アドレスとなるように注意してください。 <p> <!-- This example, like above, will allow ALL FTP Internet traffic (port 21) hitting your Internet TCP/IP address to then be forwarded to the internal Masqueraded machine at IP address 192.168.0.10. --> この例では、先程のようにインターネットからあなたの TCP/IP アドレスに対する FTP (ポート番号 21) の接続要求は、内部にある IP アドレス 192.168.0.10 にあるマスカレードされたコンピュータに 転送されます。 <p> <!-- NOTE: Once you enable a port forwarder on port 21, that port can no longer be used by the Linux IP Masquerade server. To be more specific, if you have a FTP server already running on the MASQ server, a port forward will now give all Internet users the FTP files from the -INTERNAL- FTP server and not the files on your IP MASQ server. --> 注意 - 一旦ポート 21 でポート転送を有効にすると、このポートは IP マスカレードサーバからは使えなくなります。 つまり、 FTP サーバがあらかじめマスカレードサーバで動作していたとしたら、 ポート転送はすべてのインターネットからの接続に対しては、 マスカレードサーバではなく内部の FTP サーバへの接続を 提供することになります。 <p> <![ %codes CDATA [ <tscreen> <verb> /etc/rc.d/rc.firewall -- <!-- #echo "Enabling IPPORTFW Redirection on the external LAN.." --> #echo "IPPORTFW によるリダイレクションを外部 LAN について有効に .." # /usr/local/sbin/ipportfw -C /usr/local/sbin/ipportfw -A -t$extip/21 -R 192.168.0.10/21 <!-- #NOTE: If you are using multiple local port numbers to PORTFW # to multuple internal FTP servers (say, 21, 2121, 2112, # etc, you need to configure the ip_masq_ftp nodule to # listen to these ports. To do this, edit the # /etc/rc.d/rc.firewall script as shown in this HOWTO # to look like: --> #注意 - もしあなたが複数のローカルなポート番号を使っていてポート転送を # 複数の FTP サーバ(たとえば 21,2121,2112など)に対して行いたいなら # ip_masq_ftp モジュールを複数のポートに対してリスンするように設定 # しなければなりません。そのためには、たとえば、 # /etc/rc.d/rc.firewall の内容を # # /sbin/modprobe ip_masq_ftp ports=21,2121,2112 # # のようにし、これが有効となるように /etc/rc.d/rc.firewall スクリプトを # 再度実行しなければなりません。 <!-- #Please note that PORTFWing port 20 is probably NOT required # for ACTIVE connections as the internal FTP server will # initiate this port 20 connection and it will be properly # handled by the classic MASQ mechanisms. --> # ポート 20 に対するポート転送は動作中の接続に対してはおそらく不要です。 # 内部にある FTP サーバはポート 20 番での接続を開始して、既存のやり方での # マスカレードされたコンピュータを取り扱うことができます。 -- </verb> </tscreen> ]]> <tscreen> <verb> /etc/rc.d/rc.firewall -- #echo "IPPORTFW によるリダイレクションを外部 LAN について有効に .." # /usr/local/sbin/ipportfw -C /usr/local/sbin/ipportfw -A -t$extip/21 -R 192.168.0.10/21 #注意 - もしあなたが複数のローカルなポート番号を使っていてポート転送を # 複数の FTP サーバ(たとえば 21,2121,2112など)に対して行いたいなら # ip_masq_ftp モジュールを複数のポートに対してリスンするように設定 # しなければなりません。そのためには、たとえば、 # /etc/rc.d/rc.firewall の内容を # # /sbin/modprobe ip_masq_ftp ports=21,2121,2112 # # のようにし、これが有効となるように /etc/rc.d/rc.firewall スクリプトを # 再度実行しなければなりません。 # ポート 20 に対するポート転送は動作中の接続に対してはおそらく不要です。 # 内部にある FTP サーバはポート 20 番での接続を開始して、既存のやり方での # マスカレードされたコンピュータを取り扱うことができます。 -- </verb> </tscreen> <p> <!-- That's it! Just re-run your /etc/rc.d/rc.firewall ruleset and test it out! --> これだけです! /etc/rc.d/rc.firewall ルールセットを再度動かしてテストしましょう! <p> <!-- If you get the error message "ipchains: setsockopt failed: Protocol not available", you AREN'T running your new kernel. Make sure that you moved the new kernel over, re-run LILO, and then reboot again. If you are sure you are running your new kernel, run the command "ls /proc/net" and make sure the "ip_portfw" file exists. If it doesn't, you must have made an error when configuring your kernel. Try again. --> もしも、"ipfwadm: setsockopt failed: Protocol not available" というエラーメッセージが 出てしまった場合は、あなたはまだ新しいカーネルを動作させていないことになります。 新しいカーネルファイルを適切な場所に移動させて、LILO コマンドを再実行し、システムを 再起動させてください。新しいカーネルを動かしているつもりなのに、このエラーが出た場合は、 "ls /proc/net" を実行して "ip_portfw" ファイルが存在するかどうか確認してください。 これが存在しない場合は、カーネルの構成時にエラーが出ているはずです。もう一度やり直しましょう。 <label id="CuSeeme"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> CU-SeeMe and Linux IP-Masquerade --> <sect1> CU-SeeMe と Linux の IP マスカレード <p> <!-- Linux IP Masquerade supports CuSeeme via the <em>"ip_masq_cuseeme"</em> kernel module. This kernel modules should be loaded in the /etc/rc.d/rc.firewall script. Once the "ip_masq_cuseeme" module is installed, you should be able to both initiate and receive CuSeeme connections to remote reflectors and/or users. --> Linux での IP マスカレードでは <em>"ip_masq_cuseeme"</em> カーネルモジュールを 使うことによって CuSeeme をサポートしています。 このカーネルモジュールは、 /etc/rc.d/rc.firewall スクリプトで 読みこまれなければなりません。 "ip_masq_cuseeme" モジュールが読み込まれると、リモートのリフレクタ 【訳注: CU-SeeMeのサーバのこと】やユーザとの間で接続を行うことができます。 <p> <!-- NOTE: It is recommended to use the IPPORTFW tool instead of the old IPAUTOFW tool for running CuSeeme. --> 注意 - CuSeeme を使用する場合は、IPAUTOFW より IPPORTFW ツールを使いましょう。 <p> <!-- If you need more explicit information on configuring CuSeeme, see <url url="http://www.swampgas.com/vc/ipmcus.htm" name="Michael Owings's CuSeeMe page"> for a Mini-HOWTO or <htmlurl url="http://ipmasq.cjb.net/" name="The IP Masquerade Resources"> for a mirror of the Mini-HOWTO. --> もし CuSeeMe に対してもう少し明確な情報が必要ならば、 <url url="http://www.swampgas.com/vc/ipmcus.htm" name="Michael Owings's CuSeeMe page"> にある Mini-HOWTO か <htmlurl url="http://ipmasq.cjb.net/" name="IP マスカレードの情報源"> にミラーされた内容を見てください。 <label id="ICQ"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>Mirabilis ICQ --> <sect1>ミラビリス社の ICQ <p> <!-- There are two methods of getting ICQ to work behind a Linux MASQ server. One solution is to use a new ICQ Masq module and the other solution is to use IPPORTFW. --> Linux のマスカレードサーバの背後で ICQ を動かすようにするための方法は二つあります。 一つの方法は、ICQ のマスカレードモジュールを使うことで、もう一つは IPPORTFW を 使うことです。 <p> <!-- The ICQ module has some benefits. It allows for simple setup of multiple ICQ users behind a MASQ server. It also doesn't require any special changes to the ICQ client(s). Recently, the 2.2.x version of the module was updated to support file transfer and read-time chat. Yet, for the 2.0.x kernel module, file transfers and real-time chat still isn't fully supported. Anyway, I now feel this is the PREFERRED method to get ICQ working with IP Masq running on 2.2.x+ kernels. --> ICQ マスカレードモジュールにはいくつかの利点があります。このモジュールは複数 の ICQ ユーザに対しても単純な設定で動作します。また ICQ クライアントプログラムに 対してなんら特別な変更を加える必要がありません。最近では このモジュールのバージョン 2.2 系カーネルへのアップデートではファイル転送やリアルタイムチャットもサポートする ようになりました。 <!-- To Do : Read-Time chat は おそらく typo--> しかし、2.0 系カーネルではファイル転送やリアルタイムチャットは完全にはサポート されていません。ともかく、2.2 系カーネルの上で IP マスカレードを行って ICQ を動かす ようにしたほうがいいだろうとは思います。 <p> <p> <!-- With the IPPORTFW setup, you will have to make some changes on both Linux and ICQ clients but all ICQ messaging, URLs, chat, file transfer, etc. work. --> IPPORTFW を設定する場合、Linux と ICQ クライアントに対して ICQ メッセージング、 URL、チャット、ファイル転送などなどを変更しなければなりません。 <p> <!--If you are interested in Andrew Deryabin's <htmlurl url="mailto:djsf@usa.net" name="djsf@usa.net"> ICQ IP Masq module for the 2.2.x kernels. Please see the <ref id="2.2.x-Requirements"> section for details. --> もし、 Andrew Deryabin の <htmlurl url="mailto:djsf@usa.net" name="djsf@usa.net"> 2.2 系カーネル向け ICQ IP マスカレードモジュールに 関心があるなら、 <ref id="2.2.x-Requirements" name="2.2.x カーネルの必要条件"> の章に詳しい説明があります。 <p> <!-- If you rather use the classic method of getting ICQ to run behind a MASQ server, follow these steps: --> マスカレードサーバの内部で ICQ を動かすために古典的な方法を取りたい場合は、 次のような方法で行います - <itemize> <!-- <item> First, you need to be running a Linux kernel with IPPPORTFW enabled. Please see the <ref id="Forwarders"> section for more details. --> <item> まず最初に、IPPPORTFW を有効にした状態でカーネルを動作させます。 <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> の章を参照してください。 <p> <itemize> <!-- <item> Next, you need to add the following lines to your /etc/rc.d/rc.firewall file. This example assumes that 10.1.2.3 is your external Internet IP address and your internal MASQed ICQ machine is 192.168.0.10: --> <item> 続いて、/etc/rc.d/rc.firewall ファイルに次のような記述を追加します。 この例では、10.1.2.3 は外部の IP アドレスで、内部のコンピュータの IP アドレスは 192.168.0.10 であると仮定しています。 <p> <!-- The following example is for a 2.0.x kernel with IPFWADM: --> 下記は、IPFWADM による 2.0 系カーネルのための例です。 <p> <!-- <verb> I have included two examples here for the user: Either once works fine: Example #1 -- /usr/local/sbin/ipportfw -A -t10.1.2.3/2000 -R 192.168.0.10/2000 /usr/local/sbin/ipportfw -A -t10.1.2.3/2001 -R 192.168.0.10/2001 /usr/local/sbin/ipportfw -A -t10.1.2.3/2002 -R 192.168.0.10/2002 /usr/local/sbin/ipportfw -A -t10.1.2.3/2003 -R 192.168.0.10/2003 /usr/local/sbin/ipportfw -A -t10.1.2.3/2004 -R 192.168.0.10/2004 /usr/local/sbin/ipportfw -A -t10.1.2.3/2005 -R 192.168.0.10/2005 /usr/local/sbin/ipportfw -A -t10.1.2.3/2006 -R 192.168.0.10/2006 /usr/local/sbin/ipportfw -A -t10.1.2.3/2007 -R 192.168.0.10/2007 /usr/local/sbin/ipportfw -A -t10.1.2.3/2008 -R 192.168.0.10/2008 /usr/local/sbin/ipportfw -A -t10.1.2.3/2009 -R 192.168.0.10/2009 /usr/local/sbin/ipportfw -A -t10.1.2.3/2010 -R 192.168.0.10/2010 /usr/local/sbin/ipportfw -A -t10.1.2.3/2011 -R 192.168.0.10/2011 /usr/local/sbin/ipportfw -A -t10.1.2.3/2012 -R 192.168.0.10/2012 /usr/local/sbin/ipportfw -A -t10.1.2.3/2013 -R 192.168.0.10/2013 /usr/local/sbin/ipportfw -A -t10.1.2.3/2014 -R 192.168.0.10/2014 /usr/local/sbin/ipportfw -A -t10.1.2.3/2015 -R 192.168.0.10/2015 /usr/local/sbin/ipportfw -A -t10.1.2.3/2016 -R 192.168.0.10/2016 /usr/local/sbin/ipportfw -A -t10.1.2.3/2017 -R 192.168.0.10/2017 /usr/local/sbin/ipportfw -A -t10.1.2.3/2018 -R 192.168.0.10/2018 /usr/local/sbin/ipportfw -A -t10.1.2.3/2019 -R 192.168.0.10/2019 /usr/local/sbin/ipportfw -A -t10.1.2.3/2020 -R 192.168.0.10/2020 -- Example #2 -%#045; port=2000 while [ $port -le 2020 ] do /usr/local/sbin/ipportfw -A t10.1.2.3/$port -R 192.168.0.10/$port port=$((port+1)) done -- </verb> --> <verb> ここで二つの例をあげておきました。どちらも問題なく動作します。 例その 1 -- /usr/local/sbin/ipportfw -A -t10.1.2.3/2000 -R 192.168.0.10/2000 /usr/local/sbin/ipportfw -A -t10.1.2.3/2001 -R 192.168.0.10/2001 /usr/local/sbin/ipportfw -A -t10.1.2.3/2002 -R 192.168.0.10/2002 /usr/local/sbin/ipportfw -A -t10.1.2.3/2003 -R 192.168.0.10/2003 /usr/local/sbin/ipportfw -A -t10.1.2.3/2004 -R 192.168.0.10/2004 /usr/local/sbin/ipportfw -A -t10.1.2.3/2005 -R 192.168.0.10/2005 /usr/local/sbin/ipportfw -A -t10.1.2.3/2006 -R 192.168.0.10/2006 /usr/local/sbin/ipportfw -A -t10.1.2.3/2007 -R 192.168.0.10/2007 /usr/local/sbin/ipportfw -A -t10.1.2.3/2008 -R 192.168.0.10/2008 /usr/local/sbin/ipportfw -A -t10.1.2.3/2009 -R 192.168.0.10/2009 /usr/local/sbin/ipportfw -A -t10.1.2.3/2010 -R 192.168.0.10/2010 /usr/local/sbin/ipportfw -A -t10.1.2.3/2011 -R 192.168.0.10/2011 /usr/local/sbin/ipportfw -A -t10.1.2.3/2012 -R 192.168.0.10/2012 /usr/local/sbin/ipportfw -A -t10.1.2.3/2013 -R 192.168.0.10/2013 /usr/local/sbin/ipportfw -A -t10.1.2.3/2014 -R 192.168.0.10/2014 /usr/local/sbin/ipportfw -A -t10.1.2.3/2015 -R 192.168.0.10/2015 /usr/local/sbin/ipportfw -A -t10.1.2.3/2016 -R 192.168.0.10/2016 /usr/local/sbin/ipportfw -A -t10.1.2.3/2017 -R 192.168.0.10/2017 /usr/local/sbin/ipportfw -A -t10.1.2.3/2018 -R 192.168.0.10/2018 /usr/local/sbin/ipportfw -A -t10.1.2.3/2019 -R 192.168.0.10/2019 /usr/local/sbin/ipportfw -A -t10.1.2.3/2020 -R 192.168.0.10/2020 -- 例その 2 -- port=2000 while [ $port -le 2020 ] do /usr/local/sbin/ipportfw -A t10.1.2.3/$port -R 192.168.0.10/$port port=$((port+1)) done -- </verb> <p> <!-- The following example is for a 2.2.x kernel with IPCHAINS: --> IPCHAINS を使った 2.2 系カーネルのための例を次に示します - <p> <!-- <verb> I have included two examples here for the user: Either once works fine: Example #1 -- /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2000 -R 192.168.0.10 2000 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2001 -R 192.168.0.10 2001 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2002 -R 192.168.0.10 2002 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2003 -R 192.168.0.10 2003 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2004 -R 192.168.0.10 2004 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2005 -R 192.168.0.10 2005 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2006 -R 192.168.0.10 2006 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2007 -R 192.168.0.10 2007 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2008 -R 192.168.0.10 2008 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2009 -R 192.168.0.10 2009 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2010 -R 192.168.0.10 2010 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2011 -R 192.168.0.10 2011 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2012 -R 192.168.0.10 2012 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2013 -R 192.168.0.10 2013 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2014 -R 192.168.0.10 2014 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2015 -R 192.168.0.10 2015 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2016 -R 192.168.0.10 2016 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2017 -R 192.168.0.10 2017 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2018 -R 192.168.0.10 2018 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2019 -R 192.168.0.10 2019 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2020 -R 192.168.0.10 2020 -- Example #2 -- port=2000 while [ $port -le 2020 ] do /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 $port -R 192.168.0.10 $port port=$((port+1)) done -- </verb> --> <verb> ここで二つの例をあげておきました。どちらも問題なく動作します - 例その 1 -- /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2000 -R 192.168.0.10 2000 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2001 -R 192.168.0.10 2001 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2002 -R 192.168.0.10 2002 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2003 -R 192.168.0.10 2003 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2004 -R 192.168.0.10 2004 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2005 -R 192.168.0.10 2005 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2006 -R 192.168.0.10 2006 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2007 -R 192.168.0.10 2007 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2008 -R 192.168.0.10 2008 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2009 -R 192.168.0.10 2009 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2010 -R 192.168.0.10 2010 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2011 -R 192.168.0.10 2011 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2012 -R 192.168.0.10 2012 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2013 -R 192.168.0.10 2013 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2014 -R 192.168.0.10 2014 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2015 -R 192.168.0.10 2015 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2016 -R 192.168.0.10 2016 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2017 -R 192.168.0.10 2017 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2018 -R 192.168.0.10 2018 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2019 -R 192.168.0.10 2019 /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2020 -R 192.168.0.10 2020 -- 例その 2 -- port=2000 while [ $port -le 2020 ] do /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 $port -R 192.168.0.10 $port port=$((port+1)) done -- </verb> <p> <!-- <item>Once your new rc.firewall is ready, reload the ruleset to make sure things are ok by simple typing in "/etc/rc.d/rc.firewall". If you get any errors, you either don't have IPPORTFW support in the kernel or you made a typo in the rc.firewall file. --> <item><p>新しい rc.firewall が準備できたら、"/etc/rc.d/rc.firewall" とタイプして 設定が問題ないことを確認するためにルールセットの再読み込みを行います。 もし何かエラーが出た場合、IPPORTFW サポートのあるカーネルを動作させていないか、 rc.firewall ファイルになにかタイプミスがあることでしょう。</p></item> <item> <!-- <item>Now, in ICQ's Preferences Connection, configure it to be "Behind a LAN" and "Behind a firewall or Proxy". Now, click on "Firewall Settings" and configure it to be "I don't use a SOCK5 proxy". Also note that it was repviously recommended to change ICQ's "Firewall session timeouts" to "30" seconds BUT many users have found that ICQ becomes unreliable. It has been found that ICQ is more reliable with its stock timeout setting (don't enable that ICQ option) and simply change MASQ's timeout to 160 seconds. You can see how to change this timeout in the <ref id="rc.firewall-2.0.x"> and <ref id="rc.firewall-2.2.x"> rulesets. Finally, click on Next and configure ICQ to "Use the following TCP listen ports.." from "2000" to "2020". Now click done. --> <!-- ToDo: ICQ クライアントを持っていないのでメニュー項目を確認していない --> <!-- ToDo: SOCK5 というのはSocks、repivously は previously のtypo? --> <p>ICQ の [プリファレンス] - [接続] 設定で "LANから使う" と "ファイアウォールまたはプロキシを経由して使う" を設定してください。 それから、 "ファイアウォール設定" をクリックして、"SOCKS プロキシを 使わない" を設定します。 以前は "ファイアウォールタイムアウト" を "30" にすることを推奨して いましたが、多くの利用者はこれにより ICQ の信頼性が下がることに 気づいている点に注意してください。 ICQ は規定のタイムアウト設定 (この ICQ オプションを有効にしない状態) が 最も信頼性が高いので、マスカレードサーバでのタイムアウトを160秒にします。 このタイムアウト設定を変更する方法については <ref id="rc.firewall-2.0.x"> と <ref id="rc.firewall-2.2.x"> ルールセットを参照してください。 それから、 "次へ" をクリックして "以下の TCP 監視ポートを使う" の 項目では、 "2000" から "2020" までを指定してください。そして"完了"を クリックして終わりです。 <!-- Windoze の ICQ クライアントを使ったことがないので、この辺のメッセージ を翻訳すべきか否か、迷ってます。(松田) --></p><p> <!-- Now ICQ will tell you that you have to restart ICQ for the changes to take effect. To be honest, I had to REBOOT the Windows9x machine to get things to work right but other people say otherwise. So.. try it both ways. --> ICQ クライアントは変更を有効にするために ICQ の再起動を促してきます。実は、私の 場合は変更を正しく反映させて動かすために Windows9x 自体を再起動させなければなり ませんでしたが、ある人はそんなことをする必要はないとも言っています。もしだめなら両方 試してみてください。</p></item> </itemize> <!-- <item> It should also be noted that one user told me that simply portforwarding port 4000 to his ICQ machine worked best. He reported that everything worked fine (chat, file transfers, etc) WITHOUT re-configuring ICQ from its default settings. Your mileage might vary on this topic but I though you might like to hear about this alternative configuration. --> <!-- ToDo: かなり意訳 --> <item> ある人はポート番号 4000 だけを ICQ の動いているマシンにポート転送するだけの 状態がベストだ、とも話してくれました。彼はこれだけで ICQ 自体の設定を既定値から何ら 変更することなく全部の機能(チャット、ファイル転送など)がうまく動作したと報告しています。 おそらくやり方はたくさんあるのでしょうが、別な設定の方法を試すのもいいかもしれません。 </itemize> <label id="LooseUDP"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>Gamers: The LooseUDP patch --> <sect1>ゲーマー向け - LooseUDP パッチ <p> <!-- The LooseUDP patch allows NAT-friendly games that usually use UDP connections to both WORK and perform quite well behind a Linux IP Masquerade server. Currently, LooseUDP is available as a patch for 2.0.36+ kernels and it is already built into 2.2.3+ kernels though it is now DISABLED by DEFAULT in 2.2.16+. --> LooseUDP パッチは NAT との親和性があり、通常 UDP を用いるゲームを Linux IP マスカレードサーバの背後で問題なく動作させるためのものです。 今のところ、LooseUDP はバージョン 2.0.36 以上のカーネルに対しては パッチとして提供され、2.2.3 以上のカーネルには組み込まれていますが、 2.2.16 以上のカーネルではデフォルトで禁止状態になっています。 <p> <!-- To get LooseUDP running on a 2.0.x kernel, follow the following steps: --> LooseUDP を2.0.x 系カーネルで動作させるには次の手順に従います - <itemize> <!-- <item>Have the newest 2.0.x kernel sources uncompressed in the /usr/src/linux directory --> <item>最新の 2.0.x カーネルを用意し、/usr/src/linux ディレクトリに展開します。 <p> <!-- <item>ABSOLUTELY REQUIRED for v2.0.x: Download and install the IPPORTFW patch from the <ref id="2.0.x-Requirements"> section and as described in the <ref id="Forwarders"> Section of the HOWTO. --> <item>バージョン 2.0.x では必須 - IPPORTFW パッチを、この HOW-TO の <ref id="2.0.x-Requirements" name="2.0.x カーネルの必要条件"> の章か、または <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> の章を参考にしてください。 <p> <!-- <item>Download the LooseUDP patch from the <ref id="2.0.x-Requirements"> section --> <item><ref id="2.0.x-Requirements" name="2.0.x カーネルの必要条件"> の章から LooseUDP パッチをダウンロードします。 <p> <!-- Now, put the LooseUDP patch in the /usr/src/linux directory. Once this is done, type in: --> LooseUDP パッチを /usr/src/linux ディレクトリに置き、次のようにタイプします。 <p> <!-- <tscreen>For a compressed patch file: zcat loose-udp-2.0.36.patch.gz | patch --> <tscreen>圧縮されたパッチファイルの場合 - zcat loose-udp-2.0.36.patch.gz | patch -p1</tscreen> <p> <!-- <tscreen>For a NON-compressed patch file: cat loose-udp-2.0.36.patch | patch -p1</tscreen> --> <tscreen>圧縮されていないパッチファイルの場合 - cat loose-udp-2.0.36.patch | patch -p1</tscreen> <p> <!-- Now, depending on your version of "patch", You will then see the following text: --> お使いの patch プログラムのバージョンにもよりますが、次のようなテキストを 見ることになるでしょう - <p> <tscreen> <verb> patching file `CREDITS' patching file `Documentation/Configure.help' patching file `include/net/ip_masq.h' patching file `net/ipv4/Config.in' patching file `net/ipv4/ip_masq.c' </verb> </tscreen> <!-- If you see the text "Hunk FAILED" only ONCE and ONLY ONCE at the very beginning of the patching, don't be alarmed. You probably have an old patch file (this as been fixed) but it still works. If it fails completely, make sure you have applied the IPPORTFW kernel patch FIRST. --> もし、"Hunk FAILED" がパッチ過程の各々でそれぞれ一度だけ表示されているなら、それは 警告ではありません。古いパッチファイルが当たっているのだと思われますが、この状態であれば 動作します。全く失敗に終わってしまった場合は、IPPORTFW パッチがカーネルに適用されている かどうか、まず確認してみてください。 <p> <!-- Once the patch is installed, re-configure the kernel as shown in the <ref id="Kernel-Compile"> section and be sure to say "Y" to the "IP: loose UDP port managing (EXPERIMENTAL) (CONFIG_IP_MASQ_LOOSE_UDP) [Y/n/?]" option. --> このパッチが組み込まれると、 <ref id="Kernel-Compile" name="カーネルのコンパイル"> の章に示されている通りに "IP: loose UDP port managing (EXPERIMENTAL) (CONFIG_IP_MASQ_LOOSE_UDP) [Y/n/?]" オプション に対して "Y" と答えて構成してください。 </itemize> <p> <!-- To get LooseUDP running on a 2.2.x kernel, follow the following steps: --> 2.2 系カーネルで LooseUDP が動くようにするためには、次のような手順を実施します - <itemize> <!-- In the /etc/rc.d/rc.firewall script, goto the BOTTOM of the file and find the LooseUDP section. Change the "0" in the line: <tt>echo "0" > /proc/sys/net/ipv4/ip_masq_udp_dloose</tt> to a "1" and re-run the rc.firewall ruleset. An example of this is given in both the <ref id="rc.firewall-2.2.x"> example and the <ref id="stronger-rc.firewall-2.2.x"> example. --> /etc/rc.d/rc.firewall スクリプトの最後のあたりにある LooseUDP の項目を探します。 <tt>echo "0" > /proc/sys/net/ipv4/ip_masq_udp_dloose</tt> という行にある "0" を "1" に変更して、 rc.firewall ルールセットを再実行します。 この実例は、<ref id="rc.firewall-2.2.x"> と <ref id="stronger-rc.firewall-2.2.x"> にあります。 </itemize> <p> <!-- Once you are running the new LooseUDP enabled kernel, you should be good to go for most NAT-friendly games. Some URLs have been given for patches to make games like BattleZone and others NAT friendly. Please see the <ref id="Game-Clients"> section for more details. --> 新しく LooseUDP が有効となったカーネルを動かすと、殆どの NAT との 親和性のあるゲームが問題なく動くようになります。 いくつかのページで、 BattleZone などといったゲームに NAT 親和性を 持たせるパッチを提供する web ページもあります。 詳細は<ref id="Game-Clients"> の章を参照してください。 <!-- 6章ここまで 翻訳: 後藤 校正: 山口しんごさん <shingoyam@home.com> 松田陽一 <matsuda@palnet.or.jp> --> <!-- Section 7 --> <!-- ##################################################################################--> <!-- ####################### 第７章、よくある質問(FAQ) ################################--> <!-- ##################################################################################--> <!-- <sect>Frequently Asked Questions --> <sect>よくある質問 (FAQ) <p> <label id="FAQ"> <!-- If you can think of any useful FAQ suggestions, please send it to <htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net">. Please clearly state the question and an appropriate answer (if you have it). Thank you! --> ここに載せるに相応しい質問を思いついたら、<htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net"> に送ってください。 質問と、適切な回答を、分かりやすく書いて頂ければ幸いです。 宜しくお願いします。 <label id="MASQ-supported-Distributions"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> What Linux Distributions support IP Masquerading out of the box? --> <sect1> IP マスカレードをサポートしている Linux ディストリビューションはどれですか？ <p> <!-- If your Linux distribution doesn't support IP MASQ out of the box, don't worry. All you have to do is re-compile a kernel as shown above in this HOWTO. --> Linux ディストリビューションが IP マスカレードをサポートしていなくても心配はいりません。この HOWTO の前の方に書かれているとおりにカーネルの再コンパイルを行うだけです。 <!-- NOTE: If you can help us fill out this table, please email <htmlurl url="mailto:ambrose@writeme.com" name="ambrose@writeme.com"> or <htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net">. --> <!-- 注 - この表に追加できる方は<htmlurl url="mailto:ambrose@writeme.com" name="ambrose@writeme.com"> または <htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net">宛にメールを送ってください. --> 注意 - この表に追加できる方は<htmlurl url="mailto:ambrose@writeme.com" name="ambrose@writeme.com"> または <htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net"> 宛にメールを送ってください。 <itemize> <item>Caldera < v1.2 : NO - ? <item>Caldera v1.3 : YES - 2.0.35 based <item>Caldera v2.2 : YES - 2.2.5 based <item>Caldera eServer v2.3 : YES - ? based <item>Debian v1.3 : NO - ? <item>Debian v2.0 : NO - ? <item>Debian v2.1 : YES - 2.2.1 based <item>Debian v2.2 : YES - 2.2.15 based <item>DLX Linux v? : ? - ? <item>DOS Linux v? : ? - ? <item>FloppyFW v1.0.2 : ? - ? <item>Hal91 Linux v? : ? - ? <item>Linux Mandrake v5.3 : YES - ? <item>Linux Mandrake v6.0 : YES - 2.2.5 based <item>Linux PPC vR4 : NO - ? <item>Linux Pro v? : ? - ? <item>LinuxWare v? : ? - ? <item>Mandrake v6.0 : YES - ? <item>Mandrake v6.1 : YES - ? <item>Mandrake v7.0 : YES - 2.2.14 <item>Mandrake v7.1 : YES - 2.2.15 <item>Mandrake v7.2 : YES - 2.2.17 <item>MkLinux v? : ? - ? <item>MuLinux v3rl : YES - ? <item>Redhat < v4.x : NO - ? <item>Redhat v5.0 : YES - ? <item>Redhat v5.1 : YES - 2.0.34 based <item>Redhat v5.2 : YES - 2.0.36 based <item>Redhat v6.0 : YES - 2.2.5 based <item>Redhat v6.1 : YES - 2.2.12 based <item>Redhat v6.2 : YES - 2.2.14 based <item>Redhat v7.0 : YES - 2.2.16 based <item>Slackware v3.0 : ? - ? <item>Slackware v3.1 : ? - ? <item>Slackware v3.2 : ? - ? <item>Slackware v3.3 : ? - 2.0.34 based <item>Slackware v3.4 : ? - ? <item>Slackware v3.5 : ? - ? <item>Slackware v3.6 : ? - ? <item>Slackware v3.9 : ? - 2.0.37pre10 based <item>Slackware v4.0 : ? - ? <item>Slackware v7.0 : YES - 2.2.13 based <item>Slackware v7.1 : YES - 2.2.16 based <item>Stampede Linux v? : ? - ? <item>SuSE v5.2 : YES - 2.0.32 base <item>SuSE v5.3 : YES - ? <item>SuSE v6.0 : YES - 2.0.36 based <item>SuSE v6.1 : YES - 2.2.5 based <item>SuSE v6.3 : YES - 2.2.13 based <item>Tomsrbt Linux v? : ? - ? <item>TurboLinux Lite v4.0 : YES - ? <item>TurboLinux v6.0 : YES - 2.2.12 based <item>TriLinux v? : ? - ? <item>Yggdrasil Linux v? : ? - ? </itemize> <label id="FAQ-Hardware"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> What are the minimum hardware requirements and any limitations for IP Masquerade? How well does it perform? --> <sect1> IP マスカレードを使うための、ハードウェアに最低限必要な条件と 制限事項を教えてください。それでどんな性能が出ますか? <p> <!-- A 486/66 box with 16MB of RAM was more than sufficient to fill a 1.54Mb/s T1 100%! MASQ has also be known run quite well on 386SX-16s with 8MB of RAM. Yet, it should be noted that Linux IP Masquerade starts thrashing with more than 500 MASQ entries. --> <!-- 16MB の RAM を備えた 486/66 のボックスは、1.54Mb/s T1 のネットワークで 100% 以上の働きをしました! さらにマスカレードは 8MB の RAM を備えた 386SX-16s のマシンでとてもよく働くことが知られています。しかし、Linux IP マスカレードは 500 を越えるマスカレードエントリーでスラッシングを始めることに注意してください。（訳注: スラッシング: OSが実メモリとSWAPスペースの間のデータの読み書きにほとんどの時間を費やして、プログラムが実行できなくなる状況をいう。） --> 16MB の RAM を備えた 486/66 のボックスは、 1.54Mb/s T1 のネットワークで 100% 以上の働きをしました! 更にマスカレードは 8MB の RAM を備えた 386SX-16s のマシンでとても良好に 動作することが知られています。 しかし、Linux IP マスカレードは 500 を越えるマスカレードエントリーで スラッシングを始めてしまうことに注意してください。 【訳注: スラッシング: OS が実メモリと SWAP スペースの間のデータの 読み書きに殆どの時間を費して、プログラムが実行できなくなる状況を言います。】 <p> <!-- The only application that I known that can temporarily break Linux IP Masquerade is GameSpy. Why? When it refreshes its lists, it creates 10,000s of quick connections in a VERY short time. Until these sessions timeout, the MASQ tables become "FULL". See the <ref id="No-Free-Ports"> section of the FAQ for more details. --> <!-- 私が知っている Linux IP マスカレードを一時的に壊すことができるただ一つのアプリケーションは、GameSpy です。 なぜかというと GameSpy は使っているリストをリフレッシュするために非常に短時間に 10,000 ものインターネット接続を行います。 このセッションのタイムアウト迄マスカレード・テーブルはいっぱいになってしまいます。詳細は FAQ の <ref id="No-Free-Ports"> のところを見てください。 --> 私が知る Linux IP マスカレードを一時的に壊すことができる唯一の アプリケーションは、 GameSpy です。 なぜかというと、 GameSpy は使っているリストをリフレッシュするために 非常に短時間に 10,000 ものインターネット接続を行います。 このセッションのタイムアウト迄マスカレード・テーブルは一杯に なってしまいます。 詳細は FAQ の <ref id="No-Free-Ports"> のところを見てください。 <p> <!-- While we are at it: --> それ以外にも、 <p> <!-- There is a hard limit of 4096 concurrent connections each for TCP & UDP. This limit can be changed by fiddling the values in <em>/usr/src/linux/net/ipv4/ip_masq.h</em> - a upwards limit of 32000 should by OK. If you want to change the limit - you need to change the PORT_MASQ_BEGIN & PORT_MASQ_END values to get an appropriately sized range above 32K and below 64K. 訳注: Davidにメールしたら以下の回答をもらいましたので、これを翻訳で使います。 - - - - - - -ここから Section 7.2: This must have changed sometime in the past few kernels. Here is what I have now: - - There is a hard limit of 4096 concurrent TCP and/or UDP MASQ connections in the stock Linus Linux kernels. This limit can be easily changed by fiddling the values in the kernel sources. Edit either the <em>/usr/src/linux/include/net/ip_masq.h</em> for the 2.2.x kernels or <em>/usr/src/linux/net/ipv4/ip_masq.h</em> for the 2.0.x kernels. Once in the correct file, setting an upwards limit of 32000 ports should by OK for even the busiest servers. If you want to change the limit - you need to change the PORT_MASQ_BEGIN & PORT_MASQ_END values to get an appropriately sized range say above 32K and below 64K. Here is one example: <p> PORT_MASQ_BEGIN=32000 PORT_MASQ_END=64000 - - - - - - - ここまで --> Linus が管理している Linux カーネルでは TCP と UDP 各々に対して 4096 の 同時接続数の制限があります。 この制限は、カーネルソースの中の値をちょっといじるだけで簡単に変えることが できます。 2.2.x カーネルの場合は <em>/usr/src/linux/include/net/ip_masq.h</em> を、 2.0.x カーネルの場合は <em>/usr/src/linux/net/ipv4/ip_masq.h</em> を 編集します。 どんなに忙しいサーバーでも正しいファイルの中の制限値を最大 32000 迄 増やせば大丈夫でしょう。 この数を変更したい場合は、 PORT_MASQ_BEGIN & PORT_MASQ_END の値を 32K から 64K 迄の適切な範囲内に変更する必要があります。 ここに例を示します - <verb> PORT_MASQ_BEGIN=32000 PORT_MASQ_END=64000 </verb> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>When I run the rc.firewall command, I get "command not found" errors. Why? --> <sect1>rc.firewall コマンドを実行したら「コマンドが見つかりません」 (command not found) というエラーが発生しました。なぜでしょう? <p> <!-- How did you put the rc.firewall onto your machine? Did you cut&paste it into a TELNET window, FTP it from a Windows/DOS machine, etc? Try this.. log into your Linux box and run "vim -b /etc/rc.d/rc.firewall" and see if all your lines end in a ^M. If they do, delete all the ^M and try again. --> どのように rc.firewall を作りましたか? TELNET ウインドウ内にカットアンドペーストをしましたか? 或は Windows/DOS マシンから FTP をしましたか? 次のことを試してみてください.. Linux ボックスにログインし、 "vim -b /etc/rc.d/rc.firewall" を実行してみて ください。 そして、表示された行がすべて ^M で終わっているかどうか見てください。 もしそうなら ^M を全て削除して、もう一度やってみてください。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> I've checked all my configurations, I still can't get IP Masquerade to work. What should I do? --> <sect1> 設定を全てチェックしましたが、未だ IP マスカレードを動作させる ことができません。どうしたらよいでしょうか? <p> <itemize> <!-- <item>Stay calm. Get yourself a cup of tea, coffee, soda, etc., and have a rest. Once your mind is clear, try the suggestions mentioned below. Setting up Linux IP Masquerading is NOT hard but there are several concepts that will be new to you. --> <!-- <item>まあ落ち着いてください。 お茶でもコーヒーでもソーダでも飲んで一息ついてください。 気持ちが落ち着いたら、下に書かれたことをやってみてください。 Linux IP マスカレードは難しくはないのですが、あなたにとってはじめてのいくつかの概念があります。 --> <item>まあ落ち着いてください。 お茶でもコーヒーでもソーダでも飲んで一息ついてください。 気持ちが落ち着いたら、以下に記されていることをやってみてください。 Linux IP マスカレードは難しくはないのですが、あなたにとって初めての 概念が幾つかあります。 <p> <!-- <item>Again, go through all the steps in the <ref id="Testing"> section. 99% of all first-time Masquerade users who have problems haven't looked here. --> <item>もう一度 <ref id="Testing" name="IP マスカレードのテスト"> の章の中にある全てのステップをやってみてください。問題を抱えている初めてのマスカレード・ユーザの 99% はここを見ていません。 <p> <!-- <item>Check the <url url="http://www.indyramp.com/lists/masq/" name="IP Masquerade Mailing List Archives">, most likely your question or problem is a common one and can be found in a simple Archive search. --> <item><url url="http://www.indyramp.com/lists/masq/" name="IP Masquerade Mailing List Archives"> をチェックしてみてください。恐らく、あなたの質問や問題は共通のもので、単純なアーカイブ探索で見つけることができるでしょう。 <p> <!-- <item>Check out the <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS"> document. It covers IP Masquerading for both the 2.0.x and 2.2.x kernels and MANY other topics including PPPd, DialD, DHCP, DNS, Sendmail, etc. --> <item><url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS"> の文書をチェックしてみてください。それは、カーネル 2.0.x と 2.2.x の両方での IP マスカレードと PPPd、DialD、DHCP、DNS、sendmail など、たくさんのトピックスをカバーしています。 <p> <!-- <item>Make sure that you aren't running ROUTED or GATED. To verify, run "ps aux | grep -e routed -e gated" --> <item>ROUTED または GATED を走らせていないことを確かめてください。 確かめるには "ps aux | grep -e routed -e gated" を走らせてみてください。 <p> <!-- <item>Post your question to the IP Masquerade Mailing List (see next the FAQ section for details). Please only use this if you cannot find the answer from the IP Masquerading Archive. Be sure to include all the information requested in the <ref id="Testing"> section in your email!! --> <!-- <item> IP マスカレード・メーリングリストへ質問を投稿してください(くわしくはこの章の次の項目を参照)。でもこれは IP マスカレード・アーカイブから答えを見つけられなかった場合だけにしてください。質問の中に <ref id="Testing" name="IP マスカレードのテスト"> の章の中で要求されている全ての情報を含めてください。 --> <item> IP マスカレード・メーリングリストへ質問を投稿してください (詳しくはこの章の次の項目を参照)。 でもこれはメーリングリストのアーカイブから答えを見つけられなかった場合だけに してください。 質問の中に <ref id="Testing" name="IP マスカレードのテスト"> の章の中で要求されている全ての情報を含めてください。 <p> <!-- <item>Post your question to a related Linux NNTP newsgroup. --> <item>関連する Linux NNTP ニュースグループへ質問を投稿してください。 <p> <!-- <item>Send email to <htmlurl url="mailto:ambrose@writeme.com" name="ambrose@writeme.com"> and <htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net">. You have a better chance of getting a reply from the IP Masquerading Email list than either of us. --> <item> <htmlurl url="mailto:ambrose@writeme.com" name="ambrose@writeme.com"> と <htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net"> 宛にメールを送ってください。私たちからより IP マスカレード・メーリングリストから返事をもらう機会のほうが多いでしょう。 <p> <!-- <item>Check your configurations again :-) --> <item>あなたの設定をもう一度チェックしてください。:-) </itemize> <label id="Masq-List"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> How do I join or view the IP Masquerade and/or IP Masqurade Developers mailing lists and archives? --> <sect1> IP マスカレード・メーリングリストや IP マスカレード・開発者 メーリングリストに参加したり、そのアーカイブを見るにはどうすれば良いですか? <p> <!-- There are two ways to join the two Linux IP Masquerading mailing lists. The first way is to send an email to <htmlurl url="mailto:masq-request@indyramp.com" name="masq-request@indyramp.com">. To join the Linux IP Masquerading Developers mailing list, send an email to <htmlurl url="mailto:masq-dev-request@indyramp.com" name="masq-dev-request@indyramp.com">. Please see the bullet below for more details. --> 2 つある Linux IP マスカレード・メーリングリストに参加するには 2 つの 方法があります。 第 1 の方法は <htmlurl url="mailto:masq-request@indyramp.com" name="masq-request@indyramp.com"> にメールを送ることです。 Linux IP マスカレード・開発者メーリングリストに参加するためには <htmlurl url="mailto:masq-dev-request@indyramp.com" name="masq-dev-request@indyramp.com"> にメールを送ります。 詳細は下の記述を参照してください。 <p> <itemize> <!-- <item>Subscribe via email: Now put the word "subscribe" in either the subject or body of the e-mail message. If you want to only subscribe to the Digest version of either the main MASQ or MASQ-DEV list (all e-mails on the given list during the week are sent to you in one big email), put the words "subscribe digest" instead in either the subject or body of the e-mail message. --> <!-- <item>メールでの予約 - メールメッセージの件名または本文のどちらかの中に "subscribe" という単語を書いてください。もし IP マスカレード・メーリングリストあるいは IP マスカレード・開発者メーリングリストのダイジェスト版のみの予約がしたいのならメールメッセージの件名あるいは本文の中に "subscribe digest" という単語を書いてください(その週のメーリングリスト上のすべてのメールが大きな 1 つのメールになって送られます)。 --> <item>メールでの申し込み - メールメッセージの件名または本文のどちらかの中に "subscribe" という単語を書いてください。 もし IP マスカレード・メーリングリストあるいは IP マスカレード・開発者 メーリングリストのダイジェスト版のみの申し込みをしたいのなら、 メールメッセージの件名あるいは本文の中に "subscribe digest" という単語を 書いてください (その週のメーリングリスト上のメールの全てが大きな 1 つのメールになって送られます)。 <p> <!-- Once the server receives your request, it will subscribe you to your requested list and give you a PASSWORD. Save this password as you will needed to to later unsubscribe from the list or change your options. --> <!-- サーバーがあなたのリクエストを受け取れば、リストに登録し、PASSWORD が送られてきます。 このパスワードを保存しておいてください。後でリストから登録を取り消したり、オプションを変更するために必要です。 --> サーバがあなたのリクエストを受け取れば、メーリングリストに登録し、 パスワードが送られてきます。 このパスワードを保存しておいてください。 後でリストから登録を取り消したり、オプションを変更するために必要です。 </itemize> <p> <!-- The second method is to use a WWW browser and subscribe via a form at <htmlurl url="http://www.indyramp.com/masq-list/" name="http://www.indyramp.com/masq-list/"> for the main MASQ list or <htmlurl url="http://www.indyramp.com/masq-dev-list/" name="http://www.indyramp.com/masq-dev-list/"> for the MASQ-DEV list. --> <!-- 第 2 の方法は、WWWブラウザーを使用し、 IP マスカレード・メーリングリストに参加したい場合は <htmlurl url="http://www.indyramp.com/masq-list/" name="http://www.indyramp.com/masq-list/"> にあるフォームによって予約することです。IP マスカレード・開発者メーリングリストに参加したければ <htmlurl url="http://www.indyramp.com/masq-dev-list/" name="http://www.indyramp.com/masq-dev-list/"> にあるフォームによって予約します。 --> 第 2 の方法は、 WWW ブラウザを使います。 IP マスカレード・メーリングリストに参加したい場合は <htmlurl url="http://www.indyramp.com/masq-list/" name="http://www.indyramp.com/masq-list/"> にあるフォームをアクセスし、 IP マスカレード・開発者メーリングリストに参加したければ <htmlurl url="http://www.indyramp.com/masq-dev-list/" name="http://www.indyramp.com/masq-dev-list/"> にあるフォームに アクセスして、申し込みをします。 <p> <p> <!-- Once subscribed, you will get emails from your subscribed list. It should be also noted that both subscribed and NON-subscribed users can access the two list's archives. To do this, please see the above two WWW URLs for more details. --> 予約すると予約されたメーリングリストからメールが来ます。予約したユーザも予約していないユーザも 2 つのメーリングリストのアーカイブにはアクセスすることができます。予約のための詳しい説明は、上記 2 つの WWW URL を参照してください。 <p> <!-- Lastly, please note that you can only post to the MASQ list from an account/address you originally subscribed from. --> <!-- 最後になりますが、はじめに予約したアカウント/アドレスからしか IP マスカレード・メーリングリストに投稿することができないことに注意してください。 --> 最後になりますが、最初に予約したアカウント/アドレスからしか IP マスカレード・メーリングリストに投稿できないことに注意してください。 <p> <!-- If you have any problem regarding the mailing lists or the mailing list archive, please contact <htmlurl url="mailto:masq-owner@indyramp.com" name="Robert Novak">. --> メーリングリストあるいはメーリングリスト・アーカイブに関して何らかの問題があれば <htmlurl url="mailto:masq-owner@indyramp.com" name="Robert Novak"> に連絡してください。 <label id="what-is-masq"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> How does IP Masquerade differ from Proxy or NAT services? --> <sect1>IP マスカレードは、プロキシや NAT サービスとどう違うのでしょうか? <p> <![ %codes CDATA [ <verb> <!-- Proxy: Proxy servers are available for: Win95, NT, Linux, Solaris, etc. Pro: + (1) IP address ; cheap + Optional caching for better performance (WWW, etc.) Con: - All applications behind the proxy server must both SUPPORT proxy services (SOCKS) and be CONFIGURED to use the Proxy server - Screws up WWW counters and WWW statistics --> プロキシ - プロキシ・サーバーは次のもので利用可能です - Win95, NT, Linux, Solaris など。 プロキシ - プロキシサーバは次のもので利用可能です - Win95, NT, Linux, Solarisなど。 長所 - + 1 IP アドレス: 安価 + 性能向上のためにキャッシング・オプションがある。 (www 他) 短所 - - プロキシサーバに繋がるクライアントの アプリケーションはプロキシ・サービス (SOCKS) を サポートし、且つプロキシサーバを使うように設定 しなければならない。 - WWW のカウンタと統計情報が狂ってしまいます。 <!-- A proxy server uses only (1) public IP address, like IP MASQ, and acts as a translator to clients on the private LAN (WWW browser, etc.). This proxy server receives requests like TELNET, FTP, WWW, etc. from the private network on one interface. It would then in turn, initiate these requests as if someone on the local box was making the requests. Once the remote Internet server sends back the requested information, it would re-translate the TCP/IP addresses back to the internal MASQ client and send traffic to the internal requesting host. This is why it is called a PROXY server. --> プロキシ・サーバーは IP マスカレードのようにただ 1 つのグローバル IP アドレスを使用し、プライベート LAN 上のクライアント (WWW ブラウザーなど) への翻訳者として働きます。このプロキシ・サーバーは、1 つのインターフェース につながるプライベートネットワークから TELNET、FTP、WWW などのようなリクエ ストを受け取ります。そしてあたかもローカルの箱の上の誰かが要求しているか のように、順番に、これらのリクエストを外部に送信します。遠隔のインターネッ トサーバーが要求された情報を送り返してくると、こんどは内部クライアントに再 度 TCP/IP アドレスを翻訳し、トラフィックを送ります。このため、それはプロキ シ・サーバー（代理サーバー）と呼ばれます。 プロキシサーバは IP マスカレードと同様に、 1 つのグローバル IP アドレスのみ使用し、プライベート LAN 上のクライアント (WWW ブラウザ 等) への翻訳機として動作します。 このプロキシサーバは、1 つのインターフェースに繋がるプライベート ネットワークから TELNET, FTP, WWW 等のような接続要求を受け取ります。 そして、あたかもローカルボックス上の誰かが接続要求を発しているかの ように、順番にこれらのリクエストを外部に送信します。 遠隔のインターネットサーバが要求された情報を送り返してくると、 今度は内部クライアントに再度 TCP/IP アドレスを翻訳し、トラフィックを 送ります。 このため、それはプロキシサーバ【訳注: 代理サーバ】と呼ばれます。 <!-- Note: ANY applications that you might want to use on the internal machines *MUST* have proxy server support like Netscape and some of the better TELNET and FTP clients. Any clients that don't support proxy servers won't work. --> 注意 - あらゆるアプリケーションも、ネットワーク内部のマシンで 使いたい場合は、 Netscape や幾つかの優秀な TELNET や FTP クライアントのように、プロキシサーバのサポートが されていなければなりません。 プロキシサーバのサポートがされていないクライアント プログラムは動作しません。 <!-- Another nice thing about proxy servers is that some of them can also do caching (Squid for WWW). So, imagine that you have 50 proxied hosts all loading Netscape at once. If they were installed with the default homepage URL, you would have 50 copies of the same Netscape WWW page coming over the WAN link for each respective computer. With a caching proxy server, only one copy would be downloaded by the proxy server and then the proxied machines would get the WWW page from the cache. Not only does this save bandwidth on the Internet connection, it will be MUCH MUCH faster for the internal proxied machines.　 --> プロキシ・サーバーのもうひとつの利点として、いくつかのプロキシ・サーバー はキャッシングができることです (Squid for WWW) 。 例えば 50 台のプロキシ された PC があって、それが同時に Netscape を起動したと想像してください。 それらがデフォルトのホームページ URL のままインストールされていたなら、 同じネットスケープ WWW ページがそれぞれの個々のコンピュータに別々に 50 回 WAN リンクを介して送られることになります。キャッシュを持ったプロキシ・ サーバーでは 1 回だけがプロキシ・サーバーによってダウンロードされ、プロキシ されたマシンはプロキシ内のキャッシュから WWW ページを受け取ります。これは インターネット接続中の帯域幅を節約するだけでなく、プロキシされたマシンに とって非常に早い応答速度になります。 プロキシサーバのもう一つの利点として、プロキシサーバの中には キャッシングのできるものもあることです (Squid for WWW) 。 例えば 50 台のプロキシされた PC があって、それらが同時に Netscape を起動したと想像してください。 それらがデフォルトのホームページ URL のままインストールされて いたなら、同じ Netscape WWW ページが各々の個々のコンピュータに 別々に 50 回 WAN リンクを介して送られることになります。 キャッシュを持ったプロキシサーバでは、 1 回だけがプロキシサーバ によってダウンロードされ、プロキシされたマシンはプロキシ内の キャッシュから WWW ページを受け取ります。 これはインターネット接続中の帯域幅を節約するだけでなく、 プロキシされたマシンにとって非常に早い応答速度になります。 <!-- MASQ: IP Masq is available on Linux and a few ISDN routers such or as the Zytel Prestige128, Cisco 770, NetGear ISDN routers, etc. 1:Many NAT Pro: + Only (1) IP address needed (cheap) + Doesn't require special application support + Uses firewall software so your network can become more secure Con: - Requires a Linux box or special ISDN router (though other products might have this.. ) - Incoming traffic cannot access your internal LAN unless the internal LAN initiates the traffic or specific port forwarding software is installed. Many NAT servers CANNOT provide this functionality. - Special protocols need to be uniquely handled by firewall redirectors, etc. Linux has full support for this (FTP, IRC, etc.) capabilty but many routers do NOT (NetGear DOES). <!-- マスカレード - IP マスカレード は、Linux 及び Zytel Prestige128, Cisco 770, 及び NetGear ISDN routers 等、幾つかの ISDN ルータで利用可能です。 1対多IPの NAT 長所 - + 1 IPアドレスだけが必要。(安価)。 + 特別なアプリケーションによるサポートを要求しない。 + ファイアウォール・ソフトウェアを使用するので、 ネットワークがより安全になる。 短所 - - Linux ボックスか、特別な ISDN ルータを必要とする。 (他の製品は搭載しているかも知れませんが..) - 内部 LAN が最初のトラフィックを発生させるか、或は 特定のポート・フォワーディング・ソフトウェアが インストールされていなければ、外から来る トラフィックは内部 LAN にアクセスできない。 多くの NAT サーバはこの機能を持っていません。 - 特殊なプロトコルを扱うにはファイアウォール・ リダイレクタ等によって個々の設定が必要。 Linux は、この機能 ( FTP、IRC 等) の全面的な サポートをしているが、多くのルータはサポートして いない。 (NetGear はサポートしています) <!-- Masq or 1:Many NAT is similar to a proxy server in the sense that the server will do IP address translating and fake out the remote server (WWW for example) as if the MASQ server made the request instead of an internal machine. --> IP マスカレードや 1対多 IP の NAT は、サーバが IP アドレス翻訳を 行い、内部マシンに代わってあたかもマスカレードサーバが接続要求を 発生しているかのように、遠隔のサーバ (例えば WWW サーバ) に 送り出すという意味で、プロキシサーバに似ています。 <!-- The major difference between a MASQ and PROXY server is that MASQ servers don't need any configuration changes to all the client machines. Just configure them to use the linux box as their default gateway and everything will work fine. You WILL need to install special Linux modules for things like RealAudio, FTP, etc. to work)! --> IP マスカレードとプロキシ・サーバーの主な違いは、マスカレード・サーバー はクライアント・マシンの設定変更をまったく必要としないということです。 クライアントのデフォルトゲートウェイとして Linux ボックスを使うように設 定さえすれば、問題なく働きます。ただ RealAudio, FTP などを使うにはそれらの 特別な Linux モジュールをインストールする必要があります。 IP マスカレードとプロキシサーバの主な違いは、マスカレードサーバは クライアントマシンの設定変更を全く必要としないということです。 クライアントのデフォルトゲートウェイとして Linux ボックスを使うように 設定さえすれば、問題なく働きます。 ただ RealAudio, FTP 等を使うには、それらの特別な Linux モジュールを インストールする必要があります。 <!-- Also, many people use IP MASQ for TELNET, FTP, etc. *AND* also setup a caching proxy on the same Linux box for WWW traffic for the additional performance. --> さらに、多くの人々は TELNET、FTP などのために IP マスカレード を使用し ます。それに加えさらに www のトラフィックの性能を上げるために同じ Linux ボックスの中にキャッュを利かせたプロキシを設定します。 更に、多くの人々は TELNET, FTP 等の為に IP マスカレード を 使用します。 それに加えて、更に www のトラフィックの性能を上げる為に、同じ Linux ボックスの中にキャッュを利かせたプロキシを設定します。 <!-- NAT: NAT servers are available on Windows 95/NT, Linux, Solaris, and some of the better ISDN routers (not Ascend) Pro: + Very configurable + No special application software needed Con: - Requires a subnet from your ISP (expensive) --> NAT - NAT サーバは Windows 95/NT, Linux, Solaris や高級な ISDNルータで 利用可能です。(Ascend 社製のものを除く) 長所 - + 設定が豊富にできる。 + 特別なアプリケーションソフトが要らない。 短所 - - ISP からサブネット IP アドレスを貰う必要がある。 (高価) <!-- Network Address Translation is a name for a box that would have a pool of valid IP addresses on the Internet interface that it can use. When on the Internal network wanted to goto the Internet, it associates an available VALID IP address from the Internet interface to the original requesting PRIVATE IP address. After that, all traffic is re-written from the NAT public IP address to the NAT private address. Once the associated PUBLIC NAT address becomes idle for some pre-determined amount of time, the PUBLIC IP address is returned back into the public NAT pool. --> ネットワークアドレス変換 (Network Address Translation) はパブリック アドレスとして使用できる有効な IP アドレスをプールしている箱の名前です。 内部ネットワークからインターネットに行きたかった場合、リクエストしている クライアントのプライベートアドレスを、利用可能な有効なパブリック IP アドレスに書き換えてリクエストをインターネットに発行します。その後の応答 トラフィックはすべて、NAT のパブリック IP アドレスからプライベート・ アドレスに書き換えられます。使用されていたパブリック IP アドレスが あらかじめ決められた一定時間使用されないと、 パブリック IP アドレス はパブリック NAT プールへ戻されます。 ネットワークアドレス変換 (Network Address Translation) は、 パブリックアドレスとして使用できる有効な IP アドレスをプール している箱の名前です。 内部ネットワークからインターネットに行きたい場合、接続要求を 出しているクライアントのプライベートアドレスを、空いている有効な パブリック IP アドレスに書き換えて、接続要求をインターネットに 発行します。 その後の応答トラフィックは全て、NAT のパブリック IP アドレスから プライベート・アドレスに書き換えられます。 使用されていたパブリック IP アドレスが予め決められた一定時間 使用されないと、パブリック IP アドレスはパブリック NAT プールへ 戻されます。 <!-- The major problem with NAT is, once all of the free public IP addresses are used, any additional private users requesting Internet service are out of luck until a public NAT address becomes free. --> NAT に関する大きな問題は、一度自由に使えるパブリック IP アドレスがすべ て使用されてしまうと、その後にインターネットサービスを要求するどのプライ ベートユーザもパブリック NAT アドレスに空きが出る迄不運にもインターネ ットを使うことができません。 NAT に関する大きな問題は、一度自由に使えるパブリック IP アドレスが 全て使われてしまうと、その後にインターネットサービスを要求する どのプライベートユーザも、パブリック NAT アドレスに空きが出る迄は 不運にもインターネットを利用できないことです。 </verb> ]]> <verb> プロキシ: プロキシサーバは次のもので利用可能です: Win95, NT, Linux, Solarisなど。 長所 - + 1 IP アドレス: 安価 + 性能向上のためにキャッシング・オプションがある。 (www 他) 短所 - - プロキシサーバに繋がるクライアントの アプリケーションはプロキシ・サービス (SOCKS) を サポートし、且つプロキシサーバを使うように設定 しなければならない。 - WWW のカウンタと統計情報が狂ってしまいます。 プロキシサーバは IP マスカレードと同様に、 1 つのグローバル IP アドレスのみ使用し、プライベート LAN 上のクライアント (WWW ブラウザ 等) への翻訳機として動作します。 このプロキシサーバは、1 つのインターフェースに繋がるプライベート ネットワークから TELNET, FTP, WWW 等のような接続要求を受け取ります。 そして、あたかもローカルボックス上の誰かが接続要求を発しているかの ように、順番にこれらのリクエストを外部に送信します。 遠隔のインターネットサーバが要求された情報を送り返してくると、 今度は内部クライアントに再度 TCP/IP アドレスを翻訳し、トラフィックを 送ります。 このため、それはプロキシサーバ【訳注: 代理サーバ】と呼ばれます。 注意 - あらゆるアプリケーションも、ネットワーク内部のマシンで 使いたい場合は、 Netscape や幾つかの優秀な TELNET や FTP クライアントのように、プロキシサーバのサポートが されていなければなりません。 プロキシサーバのサポートがされていないクライアント プログラムは動作しません。 プロキシサーバのもう一つの利点として、プロキシサーバの中には キャッシングのできるものもあることです (Squid for WWW) 。 例えば 50 台のプロキシされた PC があって、それらが同時に Netscape を起動したと想像してください。 それらがデフォルトのホームページ URL のままインストールされて いたなら、同じ Netscape WWW ページが各々の個々のコンピュータに 別々に 50 回 WAN リンクを介して送られることになります。 キャッシュを持ったプロキシサーバでは、 1 回だけがプロキシサーバ によってダウンロードされ、プロキシされたマシンはプロキシ内の キャッシュから WWW ページを受け取ります。 これはインターネット接続中の帯域幅を節約するだけでなく、 プロキシされたマシンにとって非常に早い応答速度になります。 マスカレード- IP マスカレード は、Linux 及び Zytel Prestige128, Cisco 770, 及び NetGear ISDN routers 等、幾つかの ISDN ルータで利用可能です。 1対多IPの NAT 長所 - + 1 IPアドレスだけが必要。(安価)。 + 特別なアプリケーションによるサポートを要求しない。 + ファイアウォール・ソフトウェアを使用するので、 ネットワークがより安全になる。 短所 - - Linux ボックスか、特別な ISDN ルータを必要とする。 (他の製品は搭載しているかも知れませんが..) - 内部 LAN が最初のトラフィックを発生させるか、或は 特定のポート・フォワーディング・ソフトウェアが インストールされていなければ、外から来る トラフィックは内部 LAN にアクセスできない。 多くの NAT サーバはこの機能を持っていません。 - 特殊なプロトコルを扱うにはファイアウォール・ リダイレクタ等によって個々の設定が必要。 Linux は、この機能 ( FTP、IRC 等) の全面的な サポートをしているが、多くのルータはサポートして いない。 (NetGear はサポートしています) IP マスカレードや 1対多 IP の NAT は、サーバが IP アドレス翻訳を 行い、内部マシンに代わってあたかもマスカレードサーバが接続要求を 発生しているかのように、遠隔のサーバ (例えば WWW サーバ) に 送り出すという意味で、プロキシサーバに似ています。 IP マスカレードとプロキシサーバの主な違いは、マスカレードサーバは クライアントマシンの設定変更を全く必要としないということです。 クライアントのデフォルトゲートウェイとして Linux ボックスを使うように 設定さえすれば、問題なく働きます。 ただ RealAudio, FTP 等を使うには、それらの特別な Linux モジュールを インストールする必要があります。 更に、多くの人々は TELNET, FTP 等の為に IP マスカレード を 使用します。 それに加えて、更に www のトラフィックの性能を上げる為に、同じ Linux ボックスの中にキャッュを利かせたプロキシを設定します。 NAT - NAT サーバは Windows 95/NT, Linux, Solaris や高級な ISDNルータで 利用可能です。(Ascend 社製のものを除く) 長所 - + 設定が豊富にできる。 + 特別なアプリケーションソフトが要らない。 短所 - - ISP からサブネット IP アドレスを貰う必要がある。 (高価) ネットワークアドレス変換 (Network Address Translation) は、 パブリックアドレスとして使用できる有効な IP アドレスをプール している箱の名前です。 内部ネットワークからインターネットに行きたい場合、接続要求を 出しているクライアントのプライベートアドレスを、空いている有効な パブリック IP アドレスに書き換えて、接続要求をインターネットに 発行します。 その後の応答トラフィックは全て、NAT のパブリック IP アドレスから プライベート・アドレスに書き換えられます。 使用されていたパブリック IP アドレスが予め決められた一定時間 使用されないと、パブリック IP アドレスはパブリック NAT プールへ 戻されます。 NAT に関する大きな問題は、一度自由に使えるパブリック IP アドレスが 全て使われてしまうと、その後にインターネットサービスを要求する どのプライベートユーザも、パブリック NAT アドレスに空きが出る迄は 不運にもインターネットを利用できないことです。 </verb> <!-- For an excellent and very comprehensive description of the various forms of NAT, please see: --> <!-- いろいろな形態の NAT に関する優れた、非常に幅の広い記述があるので見てください。 - --> 色々な形態の NAT に関する、非常に幅の広い優れた記述があるので見てください - <itemize> <item><url url="http://www.suse.de/~mha/linux-ip-nat/diplom/nat.html"> </itemize> <p> <!-- Here is another good site to learn about NAT though many of the URLs are old but still valid: --> ここは、 NAT に関して学習するよいサイトです。URL の多くは古いですが、 まだ有効です - <itemize> <item><url url="http://www.linas.org/linux/load.html"> </itemize> <p> <!-- This is a great URL for learning about other NAT solutions for Linux as well as other platforms: --> <!-- ここは、Linux や他のプラットフォーム用に、他の NAT ソリューションを知るための良い URL です。 --> ここは、 Linux や他のプラットフォーム用に、他の NAT による解決方法を 知るための良い URL です - <!-- solution: 解決方法 (松田) --> <itemize> <item><url url="http://www.uq.net.au/~zzdmacka/the-nat-page/"> </itemize> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Are there any GUI firewall creation/management tools? --> <sect1> GUI の ファイアーウォール作成管理ツールはありますか? <p> <!-- Yes! They vary in user interface, complexity, etc. but they are quite good though most are only for the IPFWADM tool so far. Here is a short list of available tools in alphabetical order. If you know of any others or have any thoughts on which ones are good/bad/ugly, please email David. --> <!-- はい! ユーザ・インターフェースや複雑さなどにおいて差があり、大部分は IPFWADM ツール用だけですがすごく良いものがあります。ここに、アルファベット順に利用可能なツールのリストがあります。他のものを知っているか、どれが良いとか、悪いとか、使えないとかの考えがあったら、David にメールを送ってください。 --> はい! ユーザ・インターフェースや複雑さなどにおいて差があり、大部分は IPFWADM ツール用だけですが、とても良いものがあります。 ここにアルファベット順に利用可能なツールのリストがあります。 他のものを知っているか、どれが良いとか、悪いとか、使えないとかの考えが あったら、 David にメールしてください。 <p> <itemize> <!-- <item>John Hardin's <htmlurl url="http://www.wolfenet.com/~jhardin/ipfwadm.html" name="IPFWADM Dot file generator"> - a IPCHAINS version is in the works --> <!-- <item>John Hardin　の <htmlurl url="http://www.wolfenet.com/~jhardin/ipfwadm.html" name="IPFWADM Dot file generator"> - IPCHAINS バージョンが働きます．<p> --> <item>John Hardin の <htmlurl url="http://www.wolfenet.com/~jhardin/ipfwadm.html" name="IPFWADM Dot file generator"> - IPCHAINS バージョンが動作します。<p> 【訳注: 上記 web site ですが、 ipchains バージョンは存在しません。 作成したルールファイルを <htmlurl url="http://www.wolfenet.com/~jhardin/ipfwadm.html" name="ipfwadm2ipchains"> で変換して欲しい、とあります。】 <!-- <item>Sonny Parlin's <url url="http://www.innertek.com" name="fBuilder">: From the author of FWCONFIG, this new solution is fully WWW based and offers redundancy options, etc for both IPCHAINS and NetFilter. --> <!-- <item>Sonny Parlin の <url url="http://www.innertek.com" name="fBuilder"> - FWCONFIG 作者から、この新しいソリュ−ションは完全な WWW ベースで、冗長性オプション等をもち、IPCHAINS と Netfilter の両方に対応しています． --> <item>Sonny Parlin の <url url="http://www.innertek.com" name="fBuilder"> - FWCONFIG 作者から、この新しい解決方法は完全な WWW ベースで、 冗長性オプション等があり、 IPCHAINS と Netfilter の両方に対応しています。 <p> <!-- <item>William Stearns's <url url="http://www.pobox.com/˜wstearns/mason/" name="Mason"> - A Build-a-ruleset on-the-fly type system --> <item>William Stearns の <url url="http://www.pobox.com/˜wstearns/mason/" name="Mason"> - ルールセットを直接作るタイプのシステム </itemize> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Does IP Masquerade work with dynamically assigned IP addresses? --> <sect1>IP マスカレードは動的に割り当てられた IP アドレスで動作しますか? <p> <!-- <bf>Yes</bf>, it works with either dynamic IP addressed assigned by your ISP via either PPP or a DHCP/BOOTp server. As long as you have an valid Internet IP address, it should work. Of course, static IP works too. Yet, if you plan on implementing a strong IPFWADM/IPCHAINS ruleset and/or plan on using a Port forwarder, your ruleset will have to be re-executed everytime your IP address changes. Please see the top of <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> for additional help with strong firewall rulesets and Dynamic IP addresses. --> <!-- <bf>はい</bf>、PPP あるいは DHCP/BOOTp サーバーなどによって、ISP から割り当てられたダイナミック IP アドレスで働きます。 有効なインターネット IP アドレスを持つ限り、それは働くはずです。 もちろん、スタティックの IP でも働きます。IPFWADM/IPCHAINS を使った強いルールセットを使う事を計画しているか、ポート転送を使うことを計画しているなら、これらのルールセットは IP アドレスが変更されるたびに再実行されなければなりません。 強いファイアーウォール・ルールセットとダイナミック IP アドレスに関する補足説明は <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> にありますので見てください。 --> <bf>はい</bf>、PPP 或は DHCP/BOOTp サーバ等によって、 ISP から 割り当てられた動的 IP アドレスで動作します。 有効なインターネット IP アドレスを持つ限り、動作する筈です。 勿論、静的な IP でも動作します。 IPFWADM/IPCHAINS を使った強いルールセットを使おうとしているか、 ポート転送を使おうとしているなら、これらのルールセットは IP アドレスが 変更される度毎に再実行しなければなりません。 強いファイアウォール・ルールセットと動的 IP アドレスに関する補足説明は <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> にありますので見てください。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Can I use a cable modem (both bi-directional and with modem returns), DSL, satellite link, etc. to connect to the Internet and use IP Masquerade? --> <!-- <sect1> ケーブル・モデム(双方向、モデム・リターンの両方)や DSL、衛星リンクなどを使用してインターネットに接続し、IP マスカレードを使うことができますか？ --> <sect1> ケーブル・モデム(双方向とモデム・リターンの両方)や、 DSL, 衛星リンク等を使用してインターネットに接続し、 IP マスカレードを 使うことができますか? <p> <!-- <bf>Yes</bf>, as long as Linux supports that network interface, it should work. If you receive a dynamic IP address, please see the URL under the "Does IP Masquerade work with dynamically assigned IP" FAQ item above. --> <!-- <bf>はい</bf>、Linux がそのネットワークインターフェイスをサポートしている限り、それは働きます。 ダイナミック IP アドレスを使っているなら上記の「 IP マスカレードはダイナミックに割り当てられた IP アドレスで働きますか？」の FAQ を参照してください。 --> <bf>はい</bf>、 Linux がそのネットワークインターフェイスを サポートしている限り、それは動作します。 動的 IP アドレスを使っているなら、 FAQ 項目内の上記「 IP マスカレードは 動的に割り当てられた IP アドレスで動作しますか?」を参照してください。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Can I use Diald or the Dial-on-Demand feature of PPPd with IP MASQ? --> <sect1> Diald または PPPd のダイアルオンデマンド機能を IP マスカレードと 一緒に使えるでしょうか? <p> <!-- Definitely! IP Masquerading is totally transparent to Diald or PPP. The only thing that might become an issue is if you use STRONG firewall rulesets with dynamic IP addresses. See the FAQ item, "Does IP Masquerade work with dynamically assigned IP addresses?" above for more details. --> <!-- もちろんです！ IP マスカレードは、Diald または PPP に全く透過です。 問題になるただ 1 つのことは、ダイナミック IP アドレスを備えた「強いファイアーウォール・ルールセット」を使用するかどうかです。くわしくは上記の「 IP マスカレードはダイナミックに割り当てられた IP アドレスで働きますか？」の FAQ アイテムを参照してください。 --> もちろんです! IP マスカレードは Diald または PPP において完全に 透過的です。 唯一の問題点は、動的 IP アドレスを備えた「強いファイアウォール・ルールセット」 を使用するかどうかです。 詳しくは FAQ 項目の上記「 IP マスカレードは動的に割り当てられた IP アドレスで動作しますか?」を参照してください。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> What applications are supported with IP Masquerade? --> <sect1> IP マスカレードでは、どんなアプリケーションがサポートされていますか? <p> <!-- It is very difficult to keep track of a list of "working applications". However, most of the normal Internet applications are supported, such as WWW browsing (Netscape, MSIE, etc.), FTP (such as WS_FTP), TELNET, SSH, RealAudio, POP3 (incoming email - Pine, Eudora, Outlook), SMTP (outgoing email), etc. A somewhat more complete list of MASQ-compatible clients can be found in the <ref id="Clients"> section of this HOWTO. --> <!-- 動作するアプリケーションのリストを更新し続けることは非常に困難です。しかしながら、WWW ブラウザー (Netscape, MSIE, 等), FTP ( WS_FTP などの), TELNET, SSH, RealAudio, POP3 (メール受信 - Pine, Eudora, Outlook), SMTP (メール送信) などのほとんどの普通のインターネットアプリケーションは、サポートされています。マスカレード互換のクライアントの多少完全なリストはこの HOWTO の<ref id="Clients"> の章にあります。 --> 動作するアプリケーションのリストを更新し続けることは非常に困難です。 しかしながら、 (Netscape, MSIE, 等の) WWW ブラウザ、 (WS_FTP 等の) FTP, TELNET, SSH, RealAudio, POP3 (メール受信 - Pine, Eudora, Outlook), SMTP (メール送信) 等、通常のインターネットアプリケーションの殆どは サポートされています。 マスカレード互換のクライアントの多少完全なリストはこの HOWTO の <ref id="Clients" name="クライアント"> の章にあります。 <!-- Applications involving more complicated protocols or special connection methods such as video conferencing software need special helper tools. --> <!-- より複雑なプロトコルあるいはビデオ会議ソフトウェアのような特別な接続方法を使っているアプリケーションはそのための補助ツールを使う必要があります。 --> より複雑なプロトコルや、或はビデオ会議ソフトウェアのような特別な 接続方法を使っているアプリケーションは、専用の補助ツールを使う 必要があります。 <!-- For more detail, please see the <url url="http://www.tsmservices.com/masq" name="Linux IP masquerading Applications"> page. --> より詳細には、<url url="http://www.tsmservices.com/masq" name="Linux IP masquerading Applications"> を見てください。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> How can I get IP Masquerade running on Redhat, Debian, Slackware, etc.? --> <sect1> どうやったら IP マスカレードを Redhat, Debian, Slackware 等で 稼働させることができますか? <p> <!-- No matter what Linux distribution you have, the procedures for setting up IP Masquerade mentioned in this HOWTO should apply. Some distributions may have GUI or special configuration files that make the setup easier. We try our best to write the HOWTO as general as possible. --> <!-- この HOWTO の中で説明している IP マスカレードのセットアップ手順はお持ちの Linux ディストリビューションにかかわらず適用できます。いくつかの ディストリビューションは、セットアップをより容易にする GUI あるいは特別の設定ファイルを持っているかもしれません。私たちはできるだけ一般的な HOWTO を書くために最善を尽くしています。 --> この HOWTO の中で説明している IP マスカレードのセットアップ手順は、 お手持ちの Linux ディストリビューションの種類を問わず適用できます。 ディストリビューションの中には、セットアップをより容易にする GUI 或は 特別の設定ファイルを持っているものもあるかも知れません。 私達はできるだけ一般的な HOWTO を書く為に最善を尽くしています。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>TELNET connections seem to break if I don't use them often. Why is that? --> <sect1>しばしば使用していないと TELNET 接続が切れるように見えます。 なぜでしょうか? <p> <!-- IP Masq, by default, sets its timers for TCP session, TCP FIN, and UDP traffic to 15 minutes. It is recommend to use the following settings (as already shown in this HOWTO's /etc/rc.d/rc.firewall ruleset) for most users: --> <!-- IP マスカレードは TCP セッション、TCP FIN 及び UDP トラフィックのタイムアウト・タイマーをデフォルトで15分にセットします。 ほとんどのユーザには次のセッティング (この HOWTOの /etc/rc.d/rc.firewall ruleset の中で既に示した) を使ことをお奨めします。 --> IP マスカレードは TCP セッション、 TCP FIN 及び UDP トラフィックの タイムアウト・タイマをデフォルトで15分に設定します。 殆どのユーザには次の設定 (この HOWTOの /etc/rc.d/rc.firewall ruleset の 中で既に示しました) を使ことをお奨めします。 <p> <!-- Linux 2.0.x with IPFWADM: <p> <verb> # MASQ timeouts # # 2 hrs timeout for TCP session timeouts # 10 sec timeout for traffic after the TCP/IP "FIN" packet is received # 60 sec timeout for UDP traffic (MASQ'ed ICQ users must enable a 30sec firewall timeout in ICQ itself) # --> Linux 2.0.x で IPFWADM を使う場合 - <!-- <p> <verb> # IP マスカレードのタイムアウト # # TCPセッションのタイムアウトは 2 時間 # TCP/IP の 「 FIN 」パケットが受信された後のタイムアウトは 10 秒 # UDP トラフィックのタイムアウトは 60 秒 （マスカレード・クライアントの ICQ ユーザーは ICQ の設定の中で、ファイアーウォールのタイムアウトを 30 秒まで許すようにする必要があります．） --> <verb> # IP マスカレードのタイムアウト # # TCPセッションのタイムアウトは 2 時間 # TCP/IP の 「 FIN 」パケットが受信された後のタイムアウトは 10 秒 # UDP トラフィックのタイムアウトは 60 秒 (マスカレード・クライアントの # ICQ ユーザは、 ICQ の設定の中でファイアウォールのタイムアウト値を # 30 秒まで許すようにする必要があります。) # /sbin/ipfwadm -M -s 7200 10 60 </verb> <p> <!-- Linux 2.2.x with IPCHAINS: <p> <verb> # MASQ timeouts # # 2 hrs timeout for TCP session timeouts # 10 sec timeout for traffic after the TCP/IP "FIN" packet is received # 60 sec timeout for UDP traffic (MASQ'ed ICQ users must enable a 30sec firewall timeout in ICQ itself) # --> Linux 2.2.x で IPCHAINS を使う場合 - <p> <!-- <verb> # IP マスカレードのタイムアウト # # TCPセッションのタイムアウトは 2 時間 # TCP/IP の 「 FIN 」パケットが受信された後のタイムアウトは 10 秒 # UDP トラフィックのタイムアウトは 60 秒 （マスカレード・クライアントの ICQ ユーザーは ICQ の設定の中で、ファイアーウォールのタイムアウトを 30 秒まで許すようにする必要があります．） --> <verb> # IP マスカレードのタイムアウト # # TCPセッションのタイムアウトは 2 時間 # TCP/IP の 「 FIN 」パケットが受信された後のタイムアウトは 10 秒 # UDP トラフィックのタイムアウトは 60 秒 (マスカレード・クライアントの # ICQ ユーザは、 ICQ の設定の中でファイアウォールのタイムアウト値を # 30 秒まで許すようにする必要があります。) # /ipchains -M -S 7200 10 60 </verb> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>When my Internet connection first comes up, nothing works. If I try again, everything then works fine. Why is this? --> <sect1>インターネット接続をしようとしても、最初は接続できません。 もう一度やってみると、問題なく動作します。なぜでしょうか? <p> <!-- The reason is because you have a dynamic IP address and when your Internet connection first comes up, IP Masquerade doesn't know its IP address. There is a solution to this. In your /etc/rc.d/rc.firewall ruleset, add the following: --> <!-- その理由はあなたがダイナミック IP アドレスを使っていて、最初にインターネット接続をしようとした時には IP マスカレードがまだその IP アドレスを知らないからです。この解決策があります。 /etc/rc.d/rc.firewall ルールセットに下記を加えてください。 --> その理由は、あなたが動的 IP アドレスを使っていて、最初にインターネット接続を しようとした時には IP マスカレードがまだその IP アドレスを知らないからです。 この解決策があります。 /etc/rc.d/rc.firewall ルールセットに下記を加えてください - <p> <![ %codes CDATA [ <verb> <!-- # Dynamic IP users: # # If you get your IP address dynamically from SLIP, PPP, or DHCP, enable this following # option. This enables dynamic-ip address hacking in IP MASQ, making the life # with Diald and similar programs much easier. # --> # ダイナミック IP ユーザー - # # SLIP や PPP, DHCP 等から IP アドレスをダイナミックに受け取って # いるなら、以下のオプションを有効にしてください．これは IP マスカレードが # Diald や同様なプログラムと一緒に使われるときにダイナミックIP アドレス # のハッキングをやり易くします． # 動的 IP ユーザ - # # SLIP や PPP, DHCP 等から IP アドレスを動的に受け取っているなら、 # 以下のオプションを有効にしてください。 # これは IP マスカレードが Diald やこれと同様なプログラムと一緒に # 使われる時に、動的 IP アドレスのハッキングをやり易くします。 # echo "1" > /proc/sys/net/ipv4/ip_dynaddr </verb> ]]> <verb> # 動的 IP ユーザ - # # SLIP や PPP, DHCP 等から IP アドレスを動的に受け取っているなら、 # 以下のオプションを有効にしてください。 # これは IP マスカレードが Diald やこれと同様なプログラムと一緒に # 使われる時に、動的 IP アドレスのハッキングをやり易くします。 # echo "1" > /proc/sys/net/ipv4/ip_dynaddr </verb> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <label id="MTU-issues"> <!-- <sect1>( MTU ) - IP MASQ seems to be working fine but some sites don't work. This usually happens with WWW and FTP. --> <sect1>( MTU ) - IP マスカレードはうまく動作しているように見えます。 しかし、いくつかのサイトでは動作しません。 これは、通常 WWW と FTP で起こります。 <p> <!-- There is two possible reasons for this. The first one is VERY common and the second is very UNCOMMON. --> この原因は 2 つ考えられます。1 つ目は非常に一般的ですが、2 つ目は非常に希です。 <p> <itemize> <!-- <item> As of the 2.0.38 and 2.2.9+ Linux kernels, there is a debatable BUG in the Masquerade code. --> <item> 2.0.38 と 2.2.9 以降の Linuxカーネルで、マスカレード・コードの中に議論のあるバグがあります。 <p> <!-- Some users point their finger to the fact that IPMASQ might have problems with　packets that have the DF or "Don't Fragment" bit set. Basically, when a MASQ box connects to the Internet with an MTU of anything less than 1500, some packets will have the DF field set. Though changing the MTU 1500 on the Linux box will seemingly fix the problem, the possible bug is still there. What is believed to be happening is that the MASQ code is not properly re-writing the returning ICMP packets with the ICMP 3 Sub 4 code back to the originating MASQed computer. Because of this, the packets get dropped. --> <!-- 何人かのユーザは IPマスカレード が DF すなわち「断片化しない (Don't Fragment)」ビットがセットされているパケットに関して問題を持っているかもしれないという事実を指摘しています。 基本的に、マスカレード・ボックスがインターネットに 1500 未満の MTU で接続した場合には、いくつかのパケットは DF フィールドがセットされるでしょう。 Linux ボックスの MTU を 1500 へ変更することはこの問題を解決したように見えますが、バグはまだ消えたわけではありません。 起こっていると考えられることは、マスカレード・コードが ICMP 3 Sub 4 コードを付けて返ってきた ICMP パケットを適切に書き直してトラフィックを発行したマスカレード・クライアントに返していないということです。このために、パケットは落とされます。 --> ユーザの中には、 IP マスカレードが DF すなわち「断片化しない (Don't Fragment)」ビットがセットされているパケットに関して問題を 抱えているかも知れない、という事実を指摘する人もいます。 基本的に、マスカレード・ボックスがインターネットに 1500 未満の MTU で 接続した場合には、幾つかのパケットには DF フィールドがセットされるでしょう。 Linux ボックスの MTU を 1500 へ変更することでこの問題を解決したように 見えますが、バグはまだ消えたわけではありません。 起こっていると考えられることは、マスカレード・コードが ICMP 3 Sub 4 コードを 付けて返ってきた ICMP パケットを適切に書き直して、トラフィックを発行した マスカレード・クライアントに返していないということです。 このために、パケットは落とされます。 <p> <!-- Other users point their finger at the adminstrators of the problem remote sites (typically SSL connected sites, etc) and say that because they are filtering ALL FORMS of ICMP (including Type4 - Fragmentation Needed) messages in a fray of security paranoia, they are breaking the fundamental aspects of the TCP/IP protocol. --> <!-- 他のユーザはその問題が起きる遠隔のサイト (典型的には SSL 接続のサイトなど) の管理者のせいだと言い、彼らがセキュリティ偏執病で全ての (Type4 - 必要とされるフラグメント - を含む) ICMP メッセージのフォームをフィルターしているのでそれらが TCP/IP プロトコルの基本の様相を壊していると言います。 --> 一方、他のユーザはその問題が起きる遠隔のサイト (典型的には SSL 接続のサイト等) の管理者のせいだと指摘します。 彼らがセキュリティ偏執病で、 (Type4 - 必要とされるフラグメント - を含む) 全種類の ICMP メッセージを除去しているので、これは TCP/IP プロトコルの 基本原則を壊していると言うのです。 <p> <!-- Both arguments have valid points and people from each camp continue to debate this to this day. If you are a network programmer and you think you can either fix or surmise this.. PLEASE TRY! For more details, check out this following <htmlurl url="http://www.tux.org/hypermail/linux-kernel/1999week10/0124.html" name="MTU Thread from the Linux-Kernel"> list. --> <!-- どちらの主張も有効なポイントを持っています。また、それぞれのグループの人々は今日まで討議し続けています。 もし、あなたがネットワークのプログラマーで、この問題を解決あるいは推測できるならやってみてください。詳しくは次の <htmlurl url="http://www.tux.org/hypermail/linux-kernel/1999week10/0124.html" name="MTU Thread from the Linux-Kernel"> をチェックしてください。 --> 双方の主張も各々一理あります。 そして、各々のグループは今日まで討議し続けています。 もし、あなたがネットワークのプログラマで、この問題を解決或は推測できるなら、 やってみてください。 詳しくは <htmlurl url="http://www.tux.org/hypermail/linux-kernel/1999week10/0124.html" name="MTU Thread from the Linux-Kernel"> をチェックしてください。 <p> <!-- No worries though. A perfectly good workaround is to change your Internet link's MTU to 1500. Now some users will balk at this because it can hurt some latency specific programs like TELNET and games but the impact is only slight. On the flip site, most HTTP and FTP traffic will SPEED UP! --> <!-- でも心配はありません。 完全でよい対処法はインターネットリンクの MTU を 1500 に変更することです。 今いくらかのユーザーは TELNET やゲームなどの応答時間に敏感なプログラムに悪いといってこれに躊躇しているのですが、インパクトはほんの少しです。軽いサイトではほとんどの HTTP と FTP トラフィックはスピードアップされます。 --> でも心配はありません。 完全でよい対処法は、インターネットリンクの MTU を 1500 に変更することです。 今、ユーザの中には TELNET やゲーム等の応答時間に敏感なプログラムに 悪いと言ってこれに躊躇する人もいますが、影響はほんの少しです。 軽いサイトでは殆どの HTTP や FTP トラフィックが高速になります! <p> <!-- [ -- If you have a PPPoE connection for your DSL/Cablemodem or choose not to change the MTU to 1500, see below for a different solution. -- ] --> [ -- DSL またはケーブル・モデムのために PPPoE 接続を行っているか、MTU を 1500 に変更しないことに決めた場合は、以下の別の解決法を見てください。 -- ] <p> <!-- To fix this, first see what your MTU for your Internet link is now. To do this, run "/bin/ifconfig". Now look at the lines that corresponds to your Internet connection and look for the MTU. This NEEDs to be set to 1500. Usually, Ethernet links will default to this but serial PPP links will default to 576. --> <!-- これを解決するために、最初にインターネットリンク用 MTU が今どうなっているかを見てください。 これをするためには "/bin/ifconfig" を走らせます。インターネット接続に相当するラインを見て、MTU を捜します。 これは 1500 にセットされている必要があります。 通常、イーサネット・リンクはデフォルトでこれになりますが、シリアル接続の PPP リンクはデフォルトで 576 になるでしょう。 --> これを解決する為に、最初にインターネットリンク用 MTU が今どうなっているかを 見てください。 この為には "/bin/ifconfig" を実行します。 インターネット接続に相当するラインを見て、 MTU を捜します。 これは 1500 にセットされている必要があります。 通常、イーサネット・リンクはデフォルトでこれになりますが、シリアル接続の PPP リンクはデフォルトで 576 になるでしょう。 </itemize> <p> <!-- <sect2>Changing the MTU of a PPP link: --> <sect2> PPP リンクの MTU の変更 - <p> <itemize> <!-- <item>To fix the MTU issue on your PPP link, edit your /etc/ppp/options file and towards the top, add the following text on two seperate lines: "mtu 1500" and "mru 1500". Save these new changes and then restart PPP. Like above, verify that your PPP link now has the correct MTU and MTU. --> <!-- <item>PPP リンクの MTU の問題を解決するには、/etc/ppp/options ファイルを編集し、上の方に別々な 2 行 "mtu 1500" と "mru 1500" を加えます。新しい変更を保存し、PPP を再起動してください。上に書いたやりかたで PPP リンクが正しい MTU と MRU になっていることを確認してください。 --> <item>PPP リンクの MTU の問題を解決するには、/etc/ppp/options ファイルを 編集し、上の方に別々な 2 行 "mtu 1500" と "mru 1500" を加えます。 新しい変更を保存し、PPP を再起動してください。 上に書いたやりかたで PPP リンクが正しい MTU と MRU になっていることを 確認してください。 <p> <!-- <item> To fix the MTU issue on a standard Ethernet link to your bridged or routed DSL, Cablemodem, etc. connection, you need to edit the correct network startup scripts for your Linux distribution. Please see the <htmlurl url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 16"> document for network optimizations. --> <!-- <item>DSL やケーブルモデム等にブリッジ接続やルーター接続された標準のイーサネット・リンク上で MTU 問題を解決するためには、使っている Linux ディストリビューション での正しいネットワーク初期化スクリプトを編集しなければなりません。 <htmlurl url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 16"> にあるネットワーク最適化のためのドキュメントを見てください。 --> <item>DSL やケーブルモデム等にブリッジ接続やルータ接続された標準の イーサネット・リンク上で MTU 問題を解決するためには、使っている Linux ディストリビューションでの正しいネットワーク初期化スクリプトを 編集しなければなりません。 <htmlurl url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 16"> にあるネットワーク最適化の為の文書を 見てください。 <p> </itemize> <!-- <sect2>Old UNIX Serial interfaces: --> <sect2>古い UNIX のシリアルインターフェース - <p> <itemize> <!-- <item>Lastly, though this isn't a common problem, some people have found the following to be their solution. With PPP users, verify what port is your PPPd code connecting to. Is it a /dev/cua* port or a /dev/ttyS* port? It NEEDS to be a /dev/ttyS* port. The cua style is OLD and it breaks some things in very odd ways. --> <!-- <item>最後に、これは共通の問題となりませんが、何人かの人々は下記が彼らの解決法であると分かりました。 PPP ユーザであればどこのポートに PPPd コードが接続されているか確認します。それは /dev/cua* ポートあるいは /dev/ttyS* ポートですか？ これは /dev/ttyS* ポートである必要があります。 cua スタイルは過去のもので、非常に奇妙な方法でいくつかのものを壊します。 --> <item>最後に、これは共通の問題ではありませんが、これから記す解決法が 当てはまる人も中にはいます。 PPP ユーザの場合、どのポートに PPPd コードが接続されているか確認します。 それは /dev/cua* ポートですか? それとも /dev/ttyS* ポートですか? これは /dev/ttyS* ポートでなければなりません。 cua スタイルは過去のもので、非常に奇妙な方法でいくつかのものを壊します。 </itemize> <!-- <sect2>PPPoE Users: --> <sect2>PPPoE ユーザ - <p> <!-- For those users who use PPPoE (that has a maximum MTU of 1490) or for those users who choose NOT to use an MTU of 1500, not is all lost. If you reconfigure ALL of your MASQed PCs to use the SAME MTU as your external Internet link's MTU, everything should work fine. It should be noted that some PPPoE ISPs might require a MTU of 1460 for proper connectivity. --> <!-- PPPoE (最大の MTU 1490 を要求します) を使用するユーザ、あるいは MTU を 1500 にしないことに決めたユーザのための解決法を書きます。 全てのマスカレード・クライアント PC の MTU の値を外部インターネットリンクの MTU と同じ値に設定すれば、うまく働くでしょう。 いくつかの PPPoE ISP は正しく接続するために 1460 の MTU を要求するかもしれませんので注意してください。 --> PPPoE (最大 MTU として 1490 を要求します) を使用するユーザ、或は MTU を 1500 にしないことに決めたユーザの為の解決法を書きます。 全てのマスカレード・クライアント PC の MTU の値を外部インターネットリンクの MTU と同じ値に設定すれば、うまく動作するでしょう。 PPPoE ISP の中には正しく接続するために 1460 の MTU を要求する所もあるかも 知れませんので、注意してください。 <!-- How do you do this? Follow these simple steps for your respective operating system. --> どうやってこれをするかは、以下の各オペレーティング・システム用の単純なステップに従ってください。 <!-- The follow examples show an example of an MTU of 1490 for typical PPPoE connections for some DSL and Cablemodem users. It is recommended to use the HIGHEST values possible for all connections that are 128Kb/s and faster. --> <!-- 次の例は、ある DSL 及びケーブル・モデム・ユーザのための典型的な PPPoE 接続用の MTU が 1490 の例を示します。 128Kb/s より早いすべての接続にとっては可能な限り大きな値を使用することを推奨します。 --> 次の例は、ある DSL 及びケーブルモデムユーザの為の、典型的な PPPoE 接続用の MTU が 1490 の例を示します。 128Kb/s 以上の接続の場合は全て、可能な限り大きな値を使用することを推奨します。 <!-- The only real reason to use smaller MTUs is to lower latency but at the cost of throughput. Please see: <htmlurl url="http://www.ecst.csuchico.edu/~dranch/PPP/ppp-performance.html#mtu" name="http://www.ecst.csuchico.edu/~dranch/PPP/ppp-performance.html#mtu"> for more details on this topic. --> より小さな MTU を使用する唯一の実際の理由は、処理能力を犠牲にしてでも より早い応答時間を得たいときです。 このトピックについての詳細は以下を見てください - <htmlurl url="http://www.ecst.csuchico.edu/~dranch/PPP/ppp-performance.html#mtu" name="http://www.ecst.csuchico.edu/~dranch/PPP/ppp-performance.html#mtu"> <!-- *** If you have had SUCCESS, FAILURE, or have procedures for OTHER operating *** systems, please email David Ranch. Thanks! --> <!-- ***　うまくいったとか、うまくいかなかったとか、あるいは他の OS でのやり方を ***　知っているなら、David Ranch 迄メールを送ってください。協力に感謝！ --> *** うまくいったとか、いかなかったとか、或は他の OS でのやり方を *** 知っているなら、 David Ranch 迄メールを送ってください。よろしく! <sect2>Linux: <p> <![ %codes CDATA [ <code> <!-- 1. The setting of MTU can vary from Linux distribution to distribution. For Redhat: You need to edit the various "ifconfig" statements in the /sbin/ifup script For Slackware: You need to edit the various "ifconfig" statements in the /etc/rc.d/rc1.inet --> 1．MTU のセッティングは Linux ディストリビューションにより異なります。 Redhatでは - /sbin/ifup スクリプトの中の様々な「 ifconfig 」ステートメントを 編集する必要があります。 Slackwareでは - /etc/rc.d/rc1.inet の中の様々な「 ifconfig 」ステートメント を編集する必要があります。 1. MTU の設定は Linux ディストリビューションにより異なります。 Redhatでは - /sbin/ifup スクリプトの中の様々な "ifconfig" の行を 編集する必要があります。 Slackwareでは - /etc/rc.d/rc1.inet の中の様々な "ifconfig" の行を 編集する必要があります。 <!-- 2. Here is one good, any-distribution-will-work example, edit the /etc/rc.d/rc.local file and put the following at the END of the file: echo "Changing the MTU of ETH0" /sbin/ifconfig eth0 mtu 1490 Replace "eth0" with the interface name that is the machine's upstream connection that is connected to the Internet. --> 2．ここに、どのディストリビューションでも働く良い例があります。/etc/rc.d/rc.local 　 ファイルを編集し、ファイルの最後に以下の行を付け加えます。 echo "Changing the MTU of ETH0" /sbin/ifconfig eth0 mtu 1490 "eth0" はインターネットに接続されたマシンの上流側のインターフェース名 に置き換えます。 2. ここに、どのディストリビューションでも働く良い例があります。 /etc/rc.d/rc.local ファイルを編集し、ファイルの最後に以下の行を 付け加えます - echo "Changing the MTU of ETH0" /sbin/ifconfig eth0 mtu 1490 "eth0" はインターネットに接続されたマシンの上流側のインターフェース名に 置き換えます。 <!-- 3. For advanced options like "TCP Receive Windows" and such, detailed examples on how to edit the respective networking scripts for your specific Linux distro, etc., please see Chapter 16 of http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#trinityos --> 3．「 TCP 受信ウインドウ (TCP Receive Windows) 」のような高度なオプション や、特定の Linux ディストリビューション用にどのようにしてそれぞれの ネットワーキング・スクリプトを編集するのかなどの詳しい例は 　　http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#trinityos の 　　16章を見てください。 3. "TCP 受信ウインドウ" (TCP Receive Windows) のような高度なオプションや、 特定の Linux ディストリビューション毎のネットワーキング・スクリプトの 編集方法等の詳しい例は、 <htmlurl url=" http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#trinityos"> の16章を見てください。 <!-- 折角ですので、 url タグにしました。(松田) --> </code> ]]> <code> 1. MTU の設定は Linux ディストリビューションにより異なります。 Redhatでは - /sbin/ifup スクリプトの中の様々な "ifconfig" の行を 編集する必要があります。 Slackwareでは - /etc/rc.d/rc1.inet の中の様々な "ifconfig" の行を 編集する必要があります。 2. ここに、どのディストリビューションでも働く良い例があります。 /etc/rc.d/rc.local ファイルを編集し、ファイルの最後に以下の行を 付け加えます - echo "Changing the MTU of ETH0" /sbin/ifconfig eth0 mtu 1490 "eth0" はインターネットに接続されたマシンの上流側のインターフェース名に 置き換えます。 3. "TCP 受信ウインドウ" (TCP Receive Windows) のような高度なオプションや、 特定の Linux ディストリビューション毎のネットワーキング・スクリプトの 編集方法等の詳しい例は、 </code> <tscreen> <htmlurl url=" http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#trinityos"> </tscreen> <code> の16章を見てください。 </code> <sect2>MS Windows 95 - <p> <![ %codes CDATA [ <code> <!-- 1. Making ANY changes to the Registry is inheritantly risky but with a backup copy, you should be safe. Proceed at your OWN RISK. --> 1． レジストリにどんな変更を加えることも非常に危険です。安全のために必ずバック 　　アップ・コピーを取って行ってください．自分自身のリスクで行ってください。 1. レジストリにどんな変更を加えることも非常に危険です。安全のために必ずバック アップ・コピーを取って行ってください。 自己責任で行ってください。 <!-- 2. Goto Start-->Run-->RegEdit --> 2．「スタート」 → 「 Run (ファイル名を指定して実行)」 → 「 RegEdit 」と入力 2. [スタート] → [ファイル名を指定して実行(R)] → "RegEdit" と入力します。 【訳注: ここの項目は日本語 Windows 95 の表示内容を参照しています。】 <!-- 折角ですので、英語 Windows の表示に代えて、上記のようにしました。(松田) --> <!-- 3. You should make a backup copy fo your Registry before doing anything. To do this, copy the "user.dat" and "system.dat" files from the \WINDOWS directory and put them into a safe place. It should be noted that the previously mentioned method of using "Regedit: Registry-->Export Registry File-->Save a copy of your registry" would only do Registry MERGES and NOT do a replacement. --> 3．何かする前にレジストリのバックアップ・コピーを作るべきです。やりかたは ￥WINDOWS フォルダにある "user.dat" と "system.dat" ファイルを安全な場所 にコピーして入れておきます。 　　以前に言及された方法「 Regedit 」上で「 Registry 」→ 「 Export Registry 」 「 File 」 → 「 Save a copy of your registry 」 はレジストりーを単にマージ するだけであって、置換をするわけでは無いと言うことに注意してください。 3. 作業前にはレジストリのバックアップ・コピーを取ってください。 方法は、エクスプローラ等で \WINDOWS ディレクトリにある "user.dat" と "system.dat" ファイルを安全な場所にコピーしておきます。 以前に述べた方法である、 "Regedit 上で [レジストリ(R)]→[レジストリファイルの書き出し(E)] [レジストリの書き出し]ウィンドウ上で [ファイル名(N)]→[保存(S)]" は、レジストリを単にマージするだけであって、置換をする訳ではないという ことに注意してください。 <!-- 4. Search though each of the Registry trees that end in "n" (e.g. 0007) that have a Registry entry called "IPAddress" that has the IP address of your NIC. Under that key, add the following: From http://support.microsoft.com/support/kb/articles/q158/4/74.asp [Hkey_Local_Machine\System\CurrentControlset\Services\Class\NetTrans\000n] type=DWORD name="MaxMTU" (Do NOT include the quotes) value=1490 (Decimal) (Do NOT include the text "(Decimal)") type=DWORD name="MaxMSS" (Do NOT include the quotes) value=1450 (Decimal) (Do NOT include the text "(Decimal>") --> 4．"n" で終了するレジストリツリーの各々を探索します。 (例えば0007)　 　　NIC の IP アドレスを持った「 IPAddress 」と呼ばれるレジストリ・ 　　エントリーがあります。そのキーの下に、下記を加えてください - http://support.microsoft.com/support/kb/articles/q158/4/74.asp から [Hkey_Local_Machine\System\CurrentControlset\Services\Class\NetTrans\000n] type=DWORD name="MaxMTU" (quotes記号は含めない) value=1490 (10 進数) ((10 進数)という文字は含めない) type=DWORD name="MaxMSS" (quotes記号は含めない) value=1450 (10 進数) ((10 進数)という文字は含めない) 4. "n" で終了するレジストリツリーの各々を探索します。 (例えば0007)　 NIC の IP アドレスを持った "IPAddress" というレジストリエントリが あります。 そのキーの下に、下記を加えてください - <htmlurl url="http://support.microsoft.com/support/kb/articles/q158/4/74.asp"> から [Hkey_Local_Machine\System\CurrentControlset\Services\Class\NetTrans\000n] type=DWORD name="MaxMTU" (ダブルクォーテーションは書かないでください) value=1490 (10 進数) ((10 進数)という文字は書かないでください) type=DWORD name="MaxMSS" (ダブルクォーテーションは書かないでください) value=1450 (10 進数) ((10 進数)という文字は書かないでください) <!-- 5. You can also change the "TCP Receive Window" which sometimes increases network performance SUBSTANTIALLY. If you notice your throughput has DECREASED, put these items BACK to their original settings and reboot. [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\MSTCP] type=DWORD name="DefaultRcvWindow" (Do NOT include the quotes) value=32768 (Decimal) (Do NOT include the text "(Decimal>") type=DWORD name="DefaultTTL" (Do NOT include the quotes) value=128 (Decimal) (Do NOT include the text "(Decimal>") --> 5．"TCP Receive Window" (TCP 受信ウインドウ) を変えることができます。 これは時にはネットワークの性能をかなりに向上させます。 もしスループットが悪くなったとわかったらこれらの項目を元の値に 戻してからリブートしてください。 [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\MSTCP] type=DWORD name="DefaultRcvWindow" (quotes記号は含めない) value=32768 (10 進数) ((10 進数)という文字は含めない) type=DWORD name="DefaultTTL" (quotes記号は含めない) value=128 (10 進数) ((10 進数)という文字は含めない) 5. "TCP Receive Window" (TCP 受信ウインドウ) も変更できます。 これは時としてネットワークの性能をかなり向上させることもあります。 もしスループットが悪くなったとわかったら、これらの項目を元の値に 戻してからリブートしてください。 [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\MSTCP] type=DWORD name="DefaultRcvWindow" (ダブルクォーテーションは書かないでください) value=32768 (10 進数) ((10 進数)という文字は書かないでください) type=DWORD name="DefaultTTL" (ダブルクォーテーションは書かないでください) value=128 (10 進数) ((10 進数)という文字は書かないでください) <!-- 6. Reboot to make the changes take effect. --> 6． 再起動して変更を有効にしてください。 6. 再起動して変更を有効にしてください。 </code> ]]> <code> 1. レジストリにどんな変更を加えることも非常に危険です。安全のために必ずバック アップ・コピーを取って行ってください。 自己責任で行ってください。 2. [スタート] → [ファイル名を指定して実行(R)] → "RegEdit" と入力します。 【訳注: ここの項目は日本語 Windows 95 の表示内容を参照しています。】 3. 作業前にはレジストリのバックアップ・コピーを取ってください。 方法は、エクスプローラ等で \WINDOWS ディレクトリにある "user.dat" と "system.dat" ファイルを安全な場所にコピーしておきます。 以前に述べた方法である、 "Regedit 上で [レジストリ(R)]→[レジストリファイルの書き出し(E)] [レジストリの書き出し]ウィンドウ上で [ファイル名(N)]→[保存(S)]" は、レジストリを単にマージするだけであって、置換をする訳ではないという ことに注意してください。 4. "n" で終了するレジストリツリーの各々を探索します。 (例えば0007)　 NIC の IP アドレスを持った "IPAddress" というレジストリエントリが あります。 そのキーの下に、下記を加えてください - </code> <tscreen> <htmlurl url="http://support.microsoft.com/support/kb/articles/q158/4/74.asp"> から </tscreen> <code> [Hkey_Local_Machine\System\CurrentControlset\Services\Class\NetTrans\000n] type=DWORD name="MaxMTU" (ダブルクォーテーションは書かないでください) value=1490 (10 進数) ((10 進数)という文字は書かないでください) type=DWORD name="MaxMSS" (ダブルクォーテーションは書かないでください) value=1450 (10 進数) ((10 進数)という文字は書かないでください) 5. "TCP Receive Window" (TCP 受信ウインドウ) も変更できます。 これは時としてネットワークの性能をかなり向上させることもあります。 もしスループットが悪くなったとわかったら、これらの項目を元の値に 戻してからリブートしてください。 [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\MSTCP] type=DWORD name="DefaultRcvWindow" (ダブルクォーテーションは書かないでください) value=32768 (10 進数) ((10 進数)という文字は書かないでください) type=DWORD name="DefaultTTL" (ダブルクォーテーションは書かないでください) value=128 (10 進数) ((10 進数)という文字は書かないでください) 6. 再起動して変更を有効にしてください。 </code> <sect2>MS Windows 98 - <p> <![ %codes CDATA [ <code> <!-- 1. Making ANY changes to the Registry is inheritantly risky but with a backup copy, you should be safe. Proceed at your OWN RISK. --> 1．レジストリにどんな変更を加えることも非常に危険です。安全のために必ずバック 　 アップ・コピーを取って行ってください．自分自身のリスクで行ってください。 1. レジストリにどんな変更を加えることも非常に危険です。安全のために必ずバック アップ・コピーを取って行ってください。 自己責任で行ってください。 <!-- 2. Goto Start-->Run-->RegEdit --> 2．「スタート」 → 「 Run (ファイル名を指定して実行)」 → 「 RegEdit 」と入力 2. [スタート] → [ファイル名を指定して実行(R)] → "RegEdit" と入力します。 【訳注: ここの項目は日本語 Windows 98 の表示内容を参照しています。】 <!-- 3. You should make a backup copy fo your Registry before doing anything. To do this, copy the "user.dat" and "system.dat" files from the \WINDOWS directory and put them into a safe place. It should be noted that the previously mentioned method of using "Regedit: Registry-->Export Registry File-->Save a copy of your registry" would only do Registry MERGES and NOT do a replacement. --> 3．何かする前にレジストリのバックアップ・コピーを作るべきです。やりかたは ￥WINDOWS フォルダにある "user.dat" と "system.dat" ファイルを安全な場所 にコピーして入れておきます。 　 以前に言及された方法「 Regedit 」上で「 Registry 」→ 「 Export Registry 」 「 File 」 → 「 Save a copy of your registry 」 はレジストりーを単にマージ するだけであって、置換をするわけでは無いと言うことに注意してください。 3. 作業前にはレジストリのバックアップ・コピーを取ってください。 方法は、エクスプローラ等で \WINDOWS ディレクトリにある "user.dat" と "system.dat" ファイルを安全な場所にコピーしておきます。 以前に述べた方法である、 "Regedit 上で [レジストリ(R)]→[レジストリファイルの書き出し(E)] [レジストリの書き出し]ウィンドウ上で [ファイル名(N)]→[保存(S)]" は、レジストリを単にマージするだけであって、置換をする訳ではないという ことに注意してください。 <!-- 4. Search though each of the Registry trees that end in "n" (e.g. 0007) that have a Registry entry called "IPAddress" that has the IP address of your NIC. Under that key, add the following: From http://support.microsoft.com/support/kb/articles/q158/4/74.asp [Hkey_Local_Machine\System\CurrentControlset\Services\Class\NetTrans\000n] type=STRING name="MaxMTU" (Do NOT include the quotes) value=1490 (Decimal) (Do NOT include the text "(Decimal)") --> 4．"n" で終了するレジストリツリーの各々を探索します。 (例えば0007)　 　　NIC の IP アドレスを持った "IPAddress" と呼ばれるレジストリ・ 　　エントリーがあります。そのキーの下に、下記を加えてください - http://support.microsoft.com/support/kb/articles/q158/4/74.asp から [Hkey_Local_Machine\System\CurrentControlset\Services\Class\NetTrans\000n] type=STRING name="MaxMTU" (quotes記号は含めない) value=1490 (10 進数) ((10 進数)という文字は含めない) 4. "n" で終了するレジストリツリーの各々を探索します。 (例えば0007)　 NIC の IP アドレスを持った "IPAddress" というレジストリエントリが あります。 そのキーの下に、下記を加えてください - <htmlurl url="http://support.microsoft.com/support/kb/articles/q158/4/74.asp"> から [Hkey_Local_Machine\System\CurrentControlset\Services\Class\NetTrans\000n] type=STRING name="MaxMTU" (ダブルクォーテーションは書かないでください) value=1490 (10 進数) ((10 進数)という文字は書かないでください) <!-- 5. You can also change the "TCP Receive Window" which sometimes increases network performance SUBSTANTIALLY. If you notice your throughput has DECREASED, put these items BACK to their original settings and reboot. [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\MSTCP] type=STRING name="DefaultRcvWindow" (Do NOT include the quotes) value=32768 (Decimal) (Do NOT include the text "(Decimal>") type=STRING name="DefaultTTL" (Do NOT include the quotes) value=128 (Decimal) (Do NOT include the text "(Decimal>") --> 5．"TCP Receive Window" （ TCP 受信ウインドウ）を変えることができます。 これは時にはネットワークの性能をかなり向上させます。 もしスループットが悪くなったとわかったらこれらの項目を元の値に 戻してからリブートしてください。 [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\MSTCP] type=STRING name="DefaultRcvWindow" (quotes記号は含めない) value=32768 (10 進数) ((10 進数)という文字は含めない) type=STRING name="DefaultTTL" (quotes記号は含めない) value=128 (10 進数) ((10 進数)という文字は含めない) 5. "TCP Receive Window" (TCP 受信ウインドウ) も変更できます。 これは時としてネットワークの性能をかなり向上させることもあります。 もしスループットが悪くなったとわかったら、これらの項目を元の値に 戻してからリブートしてください。 [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\MSTCP] type=STRING name="DefaultRcvWindow" (ダブルクォーテーションは書かないでください) value=32768 (10 進数) ((10 進数)という文字は書かないでください) type=STRING name="DefaultTTL" (ダブルクォーテーションは書かないでください) value=128 (10 進数) ((10 進数)という文字は書かないでください) <!-- 6. Reboot to make the changes take effect. --> 6． リブートして変更を有効にしてください。 6. 再起動して変更を有効にしてください。 </code> ]]> <code> 1. レジストリにどんな変更を加えることも非常に危険です。安全のために必ずバック アップ・コピーを取って行ってください。 自己責任で行ってください。 2. [スタート] → [ファイル名を指定して実行(R)] → "RegEdit" と入力します。 【訳注: ここの項目は日本語 Windows 98 の表示内容を参照しています。】 3. 作業前にはレジストリのバックアップ・コピーを取ってください。 方法は、エクスプローラ等で \WINDOWS ディレクトリにある "user.dat" と "system.dat" ファイルを安全な場所にコピーしておきます。 以前に述べた方法である、 "Regedit 上で [レジストリ(R)]→[レジストリファイルの書き出し(E)] [レジストリの書き出し]ウィンドウ上で [ファイル名(N)]→[保存(S)]" は、レジストリを単にマージするだけであって、置換をする訳ではないという ことに注意してください。 4. "n" で終了するレジストリツリーの各々を探索します。 (例えば0007)　 NIC の IP アドレスを持った "IPAddress" というレジストリエントリが あります。 そのキーの下に、下記を加えてください - </code> <tscreen> <htmlurl url="http://support.microsoft.com/support/kb/articles/q158/4/74.asp"> から </tscreen> <code> [Hkey_Local_Machine\System\CurrentControlset\Services\Class\NetTrans\000n] type=STRING name="MaxMTU" (ダブルクォーテーションは書かないでください) value=1490 (10 進数) ((10 進数)という文字は書かないでください) 5. "TCP Receive Window" (TCP 受信ウインドウ) も変更できます。 これは時としてネットワークの性能をかなり向上させることもあります。 もしスループットが悪くなったとわかったら、これらの項目を元の値に 戻してからリブートしてください。 [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\MSTCP] type=STRING name="DefaultRcvWindow" (ダブルクォーテーションは書かないでください) value=32768 (10 進数) ((10 進数)という文字は書かないでください) type=STRING name="DefaultTTL" (ダブルクォーテーションは書かないでください) value=128 (10 進数) ((10 進数)という文字は書かないでください) 6. 再起動して変更を有効にしてください。 </code> <sect2>MS Windows NT 4.x <p> <![ %codes CDATA [ <code> <!-- 1. Making ANY changes to the Registry is inheritantly risky but with a backup copy, you should be safe. Proceed at your OWN RISK. --> 1．レジストリにどんな変更を加えることも非常に危険です。安全のために必ずバック 　　アップ・コピーを取って行ってください．自分自身のリスクで行ってください。 1. レジストリにどんな変更を加えることも非常に危険です。安全のために必ずバック アップ・コピーを取って行ってください。 自己責任で行ってください。 <!-- 2. Goto Start-->Run-->RegEdit --> 2．「スタート」 → 「 Run (ファイル名を指定して実行)」 → 「 RegEdit 」と入力 2. [スタート] → [ファイル名を指定して実行] → "RegEdit" と入力します。 【訳注: ここの項目は日本語 Windows NT の表示内容を参照しています。】 <!-- 3. Registry-->Export Registry File-->Save a copy of your registry to a reliable place --> 3．「レジストリ」 → 「 Export Registry File (レジストリファイルの取り込み)」 → 「 Save a copy (レジストリファイルの書き出し)」でレジストリのコピーを安全な場所にしまいます。 <!-- 4. Create the following keys in the the Registry trees two possible Registry trees. Multiple entries are for various network devices like DialUp Networking (ppp), Ethernet NICs, PPTP VPNs, etc. http://support.microsoft.com/support/kb/articles/Q102/9/73.asp?LN=EN-US&SD=gn&FR=0 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Parameters\Tcpip] and [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\<Adapter-name>\Parameters\Tcpip] Replace "<Adapter-Name>" with the respective name of your uplink LAN NIC interface type=DWORD name="MTU" (Do NOT include the quotes) value=1490 (Decimal) (Do NOT include the text "(Decimal>") (Do NOT include the quotes) --> 4． 2 本の可能なレジストリツリーに次のキーを作成してください。 　　多数のエントリーが、ダイヤルアップネットワーク (ppp)、イーサネット NIC、PPTP 　 VPN などの様々なネットワーク装置用にあります。 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Parameters\Tcpip] と [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\<Adapter-name>\Parameters \Tcpip] "<Adapter-Name>" は自分のアップリンク LAN NIC インターフェースの 　　　それぞれの名前に置換します。 type=DWORD name="MTU" (quotes記号は含めない) value=1490 (10 進数) ((10 進数)という文字は含めない) <!-- *** If you know how to also change the MSS, TCP Window Size, and the *** TTL parameters in NT 4.x, please email dranch@trinnet.net as I *** would love to add it to the HOWTO. --> *** もしさらにあなたが NT 4.xでの MSS、TCP Window Size 、TTL パラメーターを *** 変更する方法を知っていたら dranch@trinnet.net にメールを送ってください。 *** HOWTO に追加したいと思います。 <!-- 5. Reboot to make the changes take effect. --> 5．リブートして変更を有効にしてください。 </code> ]]> <code> 1. レジストリにどんな変更を加えることも非常に危険です。安全のために必ずバック アップ・コピーを取って行ってください。 自己責任で行ってください。 2. [スタート] → [ファイル名を指定して実行] → "RegEdit" と入力します。 【訳注: ここの項目は日本語 Windows NT の表示内容を参照しています。】 3．「レジストリ」 → 「 Export Registry File (レジストリファイルの取り込み)」 → 「 Save a copy (レジストリファイルの書き出し)」でレジストリのコピーを 安全な場所にしまいます。 4． 2 本の可能なレジストリツリーに次のキーを作成してください。 　　多数のエントリーが、ダイヤルアップネットワーク (ppp)、イーサネット NIC、PPTP 　 VPN などの様々なネットワーク装置用にあります。 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Parameters\Tcpip] と [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\<Adapter-name>\Parameters \Tcpip] "<Adapter-Name>" は自分のアップリンク LAN NIC インターフェースの 　　　それぞれの名前に置換します。 type=DWORD name="MTU" (quotes記号は含めない) value=1490 (10 進数) ((10 進数)という文字は含めない) *** もしさらにあなたが NT 4.xでの MSS、TCP Window Size 、TTL パラメーターを *** 変更する方法を知っていたら dranch@trinnet.net にメールを送ってください。 *** HOWTO に追加したいと思います。 5．リブートして変更を有効にしてください。 </code> <sect2>MS Windows 2000 <p> <![ %codes CDATA [ <code> <!-- 1. Making ANY changes to the Registry is inheritantly risky but with a backup copy, you should be safe. Proceed at your OWN RISK. --> 1．レジストリにどんな変更を加えることも非常に危険です。安全のために必ずバック 　 アップ・コピーを取って行ってください．自分自身のリスクで行ってください。 <!-- 2. Goto Start-->Run-->RegEdit --> 2．「スタート」 → 「 Run (ファイル名を指定して実行)」 → 「 RegEdit 」と入力 2. [スタート] → [ファイル名を指定して実行] → "RegEdit" と入力します。 【訳注: ここの項目は日本語 Windows 2000 の表示内容を参照しています。】 <!-- 3. Registry-->Export Registry File-->Save a copy of your registry to a reliable place --> 3．「レジストリ」 → 「 Export Registry File (レジストリファイルの取り込み)」 → 「 Save a copy (レジストリファイルの書き出し)」でレジストリのコピーを安全な場所にしまいます。 <!-- 4. Navigate down to the key: [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Inter faces\<ID for Adapter> Each ID Adapter has default keys for DNS, TCP/IP address, Default Gateway, subnet mask, etc. Find the key one that is for your network card. --> 4．キーまでナビゲートします - 　　[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Inter faces\<ID for Adapter> 各 <ID for Adapter> （アダプタの ID ）は、DNS、TCP/IP アドレス、デフォル ト・ゲートウェイ、サブネット・マスクなどのためのデフォルト・キーを持ってい ます。自分のネットワーク・カード用のものを見つけてください。 <!-- 5. Create the following Entry: type=DWORD name="MTU" (Do NOT include the quotes) value=1490 (Decimal) (Do NOT include the text "(Decimal)") http://support.microsoft.com/support/kb/articles/Q120/6/42.asp?LN=EN-US&SD=gn&FR=0 *** If you know how to also change the MSS, TCP Window Size, and the *** TTL parameters in NT 2000, please email dranch@trinnet.net as I *** would love to add it to the HOWTO. --> 5．次のエントリーを作ります。 type=DWORD name="MTU" (quotes記号は含めない) value=1490 (10 進数) ((10 進数)という文字は含めない) http://support.microsoft.com/support/kb/articles/Q120/6/42.asp?LN=EN-US&SD=gn&FR=0 *** もし NT 2000での MSS、TCP Window Size 、TTL パラメーターを変更する方法を *** 知っていたら dranch@trinnet.net にメールを送ってください。 *** HOWTOに追加したいと思います。 <!-- 5. Reboot to make the changes take effect. --> 6．リブートして変更を有効にしてください。 </code> ]]> <code> 1．レジストリにどんな変更を加えることも非常に危険です。安全のために必ずバック 　 アップ・コピーを取って行ってください．自分自身のリスクで行ってください。 2. [スタート] → [ファイル名を指定して実行] → "RegEdit" と入力します。 【訳注: ここの項目は日本語 Windows 2000 の表示内容を参照しています。】 3．「レジストリ」 → 「 Export Registry File (レジストリファイルの取り込み)」 → 「 Save a copy (レジストリファイルの書き出し)」でレジストリのコピーを 安全な場所にしまいます。 4．キーまでナビゲートします - 　　[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Inter faces\<ID for Adapter> 各 <ID for Adapter> （アダプタの ID ）は、DNS、TCP/IP アドレス、 デフォルト・ゲートウェイ、サブネット・マスクなどのための デフォルト・キーを持っています。自分のネットワーク・カード用のものを見つけてください。 5．次のエントリーを作ります。 type=DWORD name="MTU" (quotes記号は含めない) value=1490 (10 進数) ((10 進数)という文字は含めない) http://support.microsoft.com/support/kb/articles/Q120/6/42.asp?LN=EN-US&SD=gn&FR=0 *** もし NT 2000での MSS、TCP Window Size 、TTL パラメーターを変更する方法を *** 知っていたら dranch@trinnet.net にメールを送ってください。 *** HOWTOに追加したいと思います。 6．リブートして変更を有効にしてください。 </code> <!-- As stated above, if you know how to make similar changes like these to other OSes like OS/2, MacOS, etc. please email <htmlurl url="mailto:dranch@trinnet.net" name="David Ranch"> so it can be included in the HOWTO. --> <!-- 上に述べたようにもし OS/2、MacOS などのような他の OS への同様な変更を加える方法を知っている方は <htmlurl url="mailto:dranch@trinnet.net" name="David Ranch"> へメールを送ってください。HOWTO に入れていきます。 --> 上述のように、もし OS/2, MacOS 等の他の OS に同様な変更を加える方法を 知っている方は、 <htmlurl url="mailto:dranch@trinnet.net" name="David Ranch"> へメールを送ってください。 HOWTO に入れていきます。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>MASQed FTP clients don't work. --> <sect1>IP マスカレード FTP クライアントが動作しません。 <p> <!-- Check to see that the "ip_masq_ftp" module is loaded. To do this, log into the MASQ server and run the command "/sbin/lsmod". If you don't see the "ip_masq_ftp" module loaded, make sure that you followed the BASIC /etc/rc.d/rc.firewall recommendations found in <ref id="firewall-examples"> section. If you are implimenting your own ruleset, make sure you at include most of the examples from the HOWTO or you will have lots of continuing problems. --> <!-- "ip_masq_ftp" モジュールがロードされているかチェックしてください。これをやるにはマスカレード サーバーにログインして "/sbin/lsmod" コマンドを走らせます。もしロードされた "ip_masq_ftp" モジュールが見えないなら、<ref id="firewall-examples"> の章で推奨されている基本的な /etc/rc.d/rc.firewall に従っているか確かめてください。もし自分のルールセットを使っているなら、HOWTO の例にあるほとんどのルールが含まれているかどうかを確認してください。そうしないといつまでもたくさんの問題に見舞われることになります。 --> "ip_masq_ftp" モジュールがロードされているかチェックしてください。 これを行うには、マスカレードサーバにログインして "/sbin/lsmod" コマンドを 実行します。 もし、ロードされている筈の "ip_masq_ftp" モジュールが見当たらないなら、 <ref id="firewall-examples" name="IP フォワーディングポリシーを設定する"> の章で推奨されている基本的な /etc/rc.d/rc.firewall に従っているか確かめてください。 もし、独自のルールセットを使っているなら、 HOWTO の例にある殆どのルールが 含まれているかどうかを確認してください。 そうしないといつまでも沢山の問題に見舞われることになります。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>IP Masquerading seems slow --> <sect1>IP マスカレードが遅いように見えます。 <p> <!-- There might be a few reasons for this: --> これには幾つかの原因が考えられます - <itemize> <!-- <item>You might be expecting more out of your modem line than is realistic. Lets do the math for a typical 56k modem connection: --> <item>あなたはモデム性能に現実以上のものを期待しているかもしれません。標準的な 56K のモデム接続について計算してみます。 <enum> <!-- <item>56k modems = 56,000 bits per second. --> <!-- <item>56k モデムですから 56,000 bit / 秒のデータ速度になります。 --> <item>56k モデムですから、毎秒 56,000 ビットのデータ速度になります。 <!-- <item>You really DON'T have a 56k modem but a 52k modem per US FCC limitations. --> <item>実際には米国 FCC の制限によって 56K のモデムではなく 52k のモデムを持っていることになります。 <!-- <item>You'll almost NEVER get 52k, the best connection I used to get was ~48k --> <item>でも実際はほとんど 52K で接続できることはありません。私は普段 48K 以下でつながります。 <!-- <item>48,000 bits per second is 4,800 BYTES per second (8 bits to a byte + 2 bits for the START and STOP RS-232 serial bits) --> <!-- <item>48,000 bit/ 秒ということは4,800 Byte/ 秒です。（8bit が 1 Byteで RS232 シリアルビットは Start bit と Stop bit に 2bits が必要です。） --> <item>毎秒 48,000 ビットということは毎秒 4,800 バイトです。 (8ビットが 1 バイトで、 RS232 シリアルビットは開始ビットと終了ビットに 2ビットが必要です。) <!-- <item>With an MTU of 1500, you will get (3.2) packets in one second. Since this will involve fragmentation, you need to round DOWN to (3) packets per second. --> <!-- <item>MTU が 1500 のとき。 1 秒間に 3.2 パケット受け取れます。これはフラグメンテーションを含むので、 1 秒間に 3 パケットに切り捨てます。 --> <item>MTU が 1500 のとき、 1 秒間に 3.2 パケット受け取れます。 これはフラグメンテーションを含むので、 1 秒間に 3 パケットに切り捨て られます。 <!-- <item>Again with MTU of 1500, thats 3.2 x 40 bytes of TCP/IP overhead (8%) --> <!-- <item>また MTU が 1500 だとこれは 3.2 x 40 Bytes (8%) の TCP/IP のオーバーヘッドがあります。 --> <item>また MTU が 1500 だと、この場合は 3.2 x 40 バイト (8%) の TCP/IP の オーバーヘッドがあります。 <!-- <item>So the BEST throughput you could hope for is 4.68KB/s w/o compression. Compression, be it v.42bis hardware compression, MNP5, or MS/Stac compression can yeild impressive numbers on highly compressable stuff like TEXT files but acutally slow things down when transfering pre-compressed files like ZIPs, MP3s, etc. --> <!-- <item>したがって、期待できるベストの処理能力は圧縮無しで 4.68K バイト/秒です。圧縮した場合、v.42bis ハードウエア圧縮、MNP5、あるいは MS/Stac 圧縮などがテキストファイルのような高圧縮にむいた材料では印象的な値を出していますが、実際は ZIP や MP3 のようなすでに圧縮されているファイルの転送では遅くなってしまいます。 --> <item>従って、期待できる最高データ転送能力は、圧縮無しで4.68KB/s です。 v.42bis ハードウエア圧縮、 MNP5, 或は MS/Stac 圧縮等で圧縮した場合、 テキストファイルのような高圧縮に向いたデータでは印象的な値を 出していますが、実際は ZIP や MP3 のような、既に圧縮されているファイルの 転送では遅くなってしまいます。 </enum> <p> <!-- <item>Ethernet attached setups (DSL, Cablemodem, LANs, etc) --> <item>イーサネットを使うときの設定 (DSL, ケーブルモデム, LAN 等) <p> <itemize> <!-- <item>Make sure you don't have both your INTERNAL and EXTERNAL networks running on the same network card with the "IP Alias" feature. If you <em>ARE</em> doing this, it can be made to work but it will be excessively slow due to high levels of collisions, IRQ usage, etc. It is highly recommended to get another network card so that the internal and external networks have their own interface. --> <!-- <item>内部と外部のネットワークの両方が "IP Alias" の機能で 1 つのネットワークカード上で動作しているということがないかどうか確認してください。もし、そうなっていると、動作してはいるものの、高い率の衝突や IRQ の使用率などによってとてつもなく遅くなります。別なネットワークカードを持ってきて、内部ネットワークと外部ネットワークがそれぞれ自分のインターフェースを持つようにすることを強くお奨めします。 --> <item>内部と外部のネットワークの両方が "IP Alias" の機能で 1 つの ネットワークカード上で動作しているということがないかどうか確認して ください。 もしそうなっていると、動作してはいるものの、高い率の衝突や IRQ の 使用率等によってとてつもなく遅くなります。 別のネットワークカードを入手して、内部ネットワークと外部ネットワークが 各々自分のインターフェースを持つようにすることを強くお奨めします。 <p> <!-- Make sure you have the right Ethernet settings for both SPEED and DUPLEX. --> イーサネット設定の中の SPEED と DUPLEX の両方が適切であることを確かめて ください。 <p> <itemize> <!-- <item>Some 10Mb/s Ethernet cards and most 100Mb/s cards support FULL Duplex connections. Direct connections from Ethernet card to, say, DSL modem (without any hubs in between) *CAN* be set to FULL DUPLEX but only if the DSL modem supports it. You should also be sure that you have Ethernet cables with all eight wires used and they are good quality. --> <!-- <item>いくつかの 10Mb/s イーサネット・カード、及びほとんどの 100Mb/s カードは、Full Duplex 接続をサポートします。 イーサネット・カードから DSL モデムへの接続(中間のハブのない場合)は DSL モデムが FULL DUPLEX をサポートしている場合のみ FULL DUPLEX にセットすることができます。また使用されている 8 本のワイヤーすべてを備えた良質のイーサネット・ケーブルを使うよう心掛けてください。 --> <item>10Mb/s イーサネットカードや、殆どの 100Mb/s カードの中には、 全二重接続【訳注: Full Duplex】をサポートします。 イーサネット・カードから DSL モデムへの接続 (中間のハブのない場合) は、 DSL モデムが全二重をサポートしている場合のみ、これを 設定することができます。 また使用されている 8 本のワイヤー全てが結線されている良質の イーサネットケーブルを使うよう心掛けてください。 <!-- <item>Internal networks that use HUBs -cannot- use Full Duplex. You need either a 10 or 100Mb.s Ethernet <em>SWITCH</em> to be able to do this. --> <!-- <item>HUB を使った内部ネットワークは Full Duplex 機能を使えません。Full Duplex 機能を使うには 10Mb/s または 100Mb/s のイーサネット SWITCH 使う必要があります。 --> <item>ハブを使った内部ネットワークは全二重【訳注: Full Duplex】 機能を使えません。 全二重通信機能を使うには 10Mb/s または 100Mb/s のイーサネットスイッチ 【訳注: スイッチングハブ】を使う必要があります。 <!-- <item>Both auto 10/100Mb/s SPEED negotiation and Full/Half DUPLEX negotiation on Ethernet cards can wreck havoc on networks. I recommend to hard code both the NIC speed and duplex into the NIC(s) if possible. This is directly possible via Linux NIC kernel modules but isn't directly possible in monolithic kernels. You will need to either use MII utililies from <ref id="Donald Becker's NIC drivers and utils FAQ-Hardware"> or hardcode the kernel source. --> <!-- <item>イーサネットカード上の 10/100Mb/s SPEED 自動ネゴシエーションと Full/Half DUPLEX 自動ネゴシエーションともにネットワークの破壊を起こすことがあります。できれば NIC の speed と duplex の両方ともカーネル・ソースに設定を直に書き込む（ハードコード）ことをお奨めします。これは、Linux NIC カーネル・モジュールには直接設定可能なのですが、カーネルモジュールを使わずドライバを直に組み込むよう設定してコンパイルされたカーネル（モノリシック・カーネル）においては直接設定可能ではありません。この場合 <ref id="Donald Becker's NIC drivers and utils FAQ-Hardware"> からの MII utilities を使うかまたはカーネルソースに設定を直に書き込む必要があります。 --> <item>イーサネットカード上の 10/100Mb/s SPEED 自動ネゴシエーションと 全二重/半二重自動ネゴシエーションの双方共、ネットワークの破壊を 起こすことがあります。 できれば NIC の speed と duplex の両方ともカーネル・ソースに設定を 直に書き込む (ハードコード) ことをお奨めします。 これは、Linux NIC カーネル・モジュールには直接設定可能なのですが、 カーネルモジュールを使わずドライバを直に組み込むよう設定して コンパイルされたカーネル (モノリシック・カーネル) においては 直接設定可能ではありません。 この場合、 <ref id="Donald Becker's NIC drivers and utils FAQ-Hardware"> からの MII utilities を使うか、またはカーネルソースに設定を直に 書き込む必要があります。 </itemize> </itemize> <p> <!-- <item>Optimize your MTU and set the TCP Sliding window to at least 8192 --> <item>MTU を最適化し、少なくとも 8192 に TCP Sliding window をセットします。 <p> <itemize> <!-- <item>Though this is COMPLETELY out of the scope of this document, this helps QUITE A BIT on ANY network link you have be it an internal or external PPP, Ethernet, TokenRing, etc. link. For more details, this topic is briefly touched on above in the <ref id="MTU-issues"> section. For even more details, check out the Network Optimization section of <htmlurl url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 16">. --> <item>完全にこの文書の範囲外なのですが、これは PPP, イーサネット, TokenRing 等、内部または外部に持っている全ての ネットワーク・リンクを少しだけ良くします。 このトピックの詳細は、上記の <ref id="MTU-issues" name="MTU 問題"> の項目の中で 簡潔に触れられています。 更にもっと詳しくは <htmlurl url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 16"> の ネットワークの最適化 (Network Optimization) の章をチェックしてください。 </itemize> <p> <!-- <item>Serial based modem users with PPP --> <item>PPP を使っているシリアルモデムのユーザ <p> <itemize> <!-- <item>If you have an external modem, make sure you have a good serial cable. Also, many PCs have cheesy ribbon cables connecting the serial port from the motherboard or I/O card to the serial port connection. If you have one of these, make sure it is in good condition. Personally, I have ferrite coils (those grey-black metal like rings) around ALL of my ribbon cables. --> <item>外部モデムを使っているなら、よいシリアルケーブルを使っていることを確かめてください。さらに、多くの PC は、マザーボードか I/O カードからシリアルポートコネクタまでを平べったいリボン・ケーブルで接続しています。これらがあれば、それがよい状態であることを確かめてください。個人的に、私は全てのリボン・ケーブルのまわりにフェライト・コア(灰黒色の金属的なリング)を付けています。 <p> <!-- <item>Make sure your MTU is set to 1500 as described in the FAQ section of this HOWTO above --> <item>この HOWTO の FAQ セクションの上のほうに記載されたように MTU が 1500 にセットされていることを確かめてください。 <p> <!-- <item>Make sure that your serial port is a 16550A or better UART. Run "dmesg | more" to verify --> <item>シリアルポートが 16550A あるいはそれより良い UART であることを確かめてください。 調べるには "dmesg | more" コマンドを実行します。 <p> <!-- <item>Setup IRQ-Tune for your serial ports --> <item>シリアルポートの IRQ の設定 <p> <itemize> <!-- <item>On most PC hardware, the use of Craig Estey's <url url="http://www.best.com/˜cae/irqtune/" name="IRQTUNE"> tool and significantly increase serial port performance including SLIP and PPP connections. --> <item>ほとんどの PC ハードウエア上で Craig Estey の <url url="http://www.best.com/˜cae/irqtune/" name="IRQTUNE"> tool を使うと SLIP や PPP 接続を含むシリアルポートの性能を著しく向上させます。 </itemize> <p> <!-- <item>Make sure that your serial port for your PPP connection is running at 115200 (or faster if both your modem and serial port can handle it.. a.k.a ISDN terminal adapters) --> <!-- <item>PPP 接続用のシリアルポートが 115,200 bps（あるいは ISDN ターミナルアダプタなどではモデムとシリアルポートの両方が使うことができるより早い速度）で動作しているか確認してください。 --> <item>PPP 接続用のシリアルポートが 115,200 bps（或は ISDN ターミナルアダプタ等のような、モデムとシリアルポートの両方が扱える 場合は、これより早い速度）で動作しているか確認してください。 <p> <itemize> <!-- <item>2.0.x kernels: The 2.0.x kernels are kind of an odd ball because you can't directly tell the kernel to clock the serial ports at 115200. So, in one of your startup scripts like the /etc/rc.d/rc.local or /etc/rc.d/rc.serial file, execute the following commands for a modem on COM2: --> <!-- <item>2.0.x カーネル - 2.0.x カーネルでは直接 115200 にシリアルポートを設定することができないので、奇妙なやりかたをします。例えば COM2 に接続されたモデムの場合は /etc/rc.d/rc.local または /etc/rc.d/rc.serial のような起動スクリプトファイルの中で次のようなコマンドを実行します。 --> <item>2.0.x カーネル - 2.0.x カーネルでは直接 115200 に シリアルポートを設定することができないので、奇妙なやりかたをします。 例えば COM2 に接続されたモデムの場合は /etc/rc.d/rc.local 又は /etc/rc.d/rc.serial のような起動スクリプトファイルの中で、次のような コマンドを実行します - <p> <itemize> <item> setserial /dev/ttyS1 spd_vhi <p> <!-- <item>In your PPPd script, edit the actual pppd execution line to include the speed "38400" per the pppd man page. --> <item>PPPd スクリプトの中で、pppd の man ページに従って speed "38400" を含むように実際の pppd 実行ラインを編集してください。 </itemize> <p> <!-- <item>2.2.x kernels: Unlike the 2.0.x kernels, both the 2.1.x and 2.2.x kernels don't have this "spd_vhi" issue. --> <!-- <item>2.2.x カーネル - 2.1.x と 2.2.x の両方のカーネルは 2.0.x カーネルと違ってこの "spd_vhi" 問題はありません。 --> <item>2.2.x カーネル - 2.1.x と 2.2.x のカーネルは両方共 2.0.x カーネルと違い、この "spd_vhi" 問題はありません。 <p> <itemize> <!-- <item>So, in your PPPd script, edit the actual pppd execution line to include the speed "115200" per the pppd man page. --> <!-- <item>したがって PPPd スクリプト中で、pppd の man ページに従って speed "115200" を含むように実際の pppd 実行ラインを編集してください。 --> <item>ですので、 PPPd スクリプト中で pppd の man ページに従い、 "115200" のシリアル転送速度を含むように実際の pppd コマンドラインを 編集してください。 </itemize> </itemize> </itemize> <p> <item>All interface types: <p> </itemize> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>IP Masquerading with PORTFWing seems to break when my line is idle for long periods --> <sect1>PORTFW を IP マスカレードで使っていますが、ラインが長い間待ち状態に なると切れてしまいます。 <p> <!-- If you have a DSL or Cablemode, this behavior is unfortunately quite common. Basically what is happening is your ISP is putting your connection into a very low priority queue to better service non-idle connections. The problem is that some enduser's connections will actually be taken OFFLINE until some traffic from the user's DSL/Cablemodem connection wakens the ISP's hardware --> <!-- DSL かケーブルモデムを使っていれば、この現象は不運にも全く一般的です。 基本的に、起こっていることは、ISP は使用中の他の接続を優先してサービスするために、あなたの接続を優先度の非常に低いキューに追いやってしまうからです。問題はユーザーの DSL やケーブルモデム接続からのトラフィックが ISP のハードウエアを起こすまでの間、実際にエンドユーザの接続が使えなくなってしまうことです。 --> DSL かケーブルモデムのユーザならば、不運にもこの現象は非常に一般的です。 基本的に起こっていることは、 ISP は使用中の他の接続を優先してサービス するために、あなたの接続を優先度の非常に低いキューに追いやってしまうからです。 問題はユーザの DSL やケーブルモデム接続からのトラフィックが ISP の ハードウエアを起こすまでの間、実際にエンドユーザの接続が使えなくなって しまうことです。 <itemize> <p> <!-- <item>Some DSL installations can take an idle connection OFFLINE and only be checked for activity once every 30 seconds or so. --> <!-- <item>いくつかの DSL 設備は使用されていない接続をオフラインにし、アクティビティーの有無を 30 秒に一度程度しかチェックしません。 --> <item>DSL 設備の中には、使用されていない接続を切断してしまい、 クライアントが接続されているか否かを 30 秒に一度程度しかチェックしない ものもあります。 <!-- <item>Some Cablemodem setups can set an idle connection into a low priority queue and only be checked for activity every minute or so. --> <!-- <item>いくつかのケーブルモデム・セットアップは使用されていない接続を低いプライオリティ・キューへセットし、1 分間に 1 回程度しかアクティビティーの有無をチェックしません。 --> <item>ケーブルモデムの設定によっては、使用されていない接続を低い 優先度【訳注: priority queue】に設定し、クライアントが接続されているか 否かを 1 分間に 1 回程度しかチェックしないものも存在します。 </itemize> <p> <!-- What do I recommend to do? Ping your default gateway every 30 seconds. To do this, edit the /etc/rc.d/rc.local file and add the following to the bottom of the file: --> <!-- どうしたらいいでしょうか。 30 秒に一度 ping をデフォルトゲートウェイに投げましょう。これをやるには /etc/rc.d/rc.local ファイルを編集し、ファイルの一番下に以下を付け加えてください。 --> どうしたらいいでしょうか? 30 秒に一度 ping をデフォルトゲートウェイに投げましょう。 これをやるには /etc/rc.d/rc.local ファイルを編集し、ファイルの一番下に 以下を付け加えてください。 <p> <code> ping -i 30 100.200.212.121 > /dev/null & </code> <!-- Replace the 100.200.212.121 with your default router (upstream router). --> <!-- 100.200.212.121 を自分のデフォルト・ルーター(アップストリームのルーター)に置き換えてください。 --> 100.200.212.121 を自分のデフォルト・ルータ (上流のルータ) に置き換えて ください。 <p> 【訳注: ADSL 或はケーブルモデム等でインターネット接続する際に、プロバイダ 側から自動的にデフォルトゲートウェイが割り振られる場合は、このアドレスが 接続の度毎に随時変更される可能性があるので、注意が必要です。 プロバイダが提示する接続資料に、固定のデフォルトゲートウェイが示されて いる場合は、上記固定 IP の方法が使えますが、そうでない場合は、接続確立 の際に実行されるシェルスクリプトから、デフォルトゲートウェイの IP アドレス を拾い出して、上記コマンドを実行しなければなりません。】 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>Now that I have IP Masquerading up, I'm getting all sorts of weird notices and errors in the SYSLOG log files. How do I read the IPFWADM/IPCHAINS firewall errors? --> <!-- <sect1>IP マスカレードを動かすことができましたが、SYSLOG のログファイルにあらゆる種類の妙な通知やエラーを受け取っています。IPFWADM や IPCHAINS のファイアーウォールエラーをどう読めばよいでしょうか？ --> <sect1>IP マスカレードを動かすことができましたが、SYSLOG のログファイルに あらゆる種類の妙な通知やエラーを受け取っています。 IPFWADM や IPCHAINS のファイアウォールエラーをどう読めばよいでしょうか? <p> <!-- There is probably two common things that you are going to see: --> <!-- おそらく見るべき二つの共通なことがあります。 --> 恐らく、確認すべき共通事項が二つあります - <itemize> <!-- <item><bf>MASQ: Failed TCP Checksum error:</bf> You will see this error when a packet coming from the Internet gets corrupt in the data section of the packet but the rest of it "seems" ok. When the Linux box receives this packet, it will calculate the CRC of the packet and determine that its corrupt. On most machines running OSes like Microsoft Windows, they just silently drop the packets but Linux IP MASQ reports it. If you get a LOT of them over your PPP link, first follow the FAQ entry above for "Masq is slow". --> <!-- <item><bf>MASQ - 失敗した TCP のチェックサムエラー - </bf> このエラーをパケットがインターネット側から来て、パケットのデータセクションの中にエラーがあった時に見るでしょうが、他の時は見ないでしょう。Linux ボックスがこのパケットを受信したときパケットの CRC を計算してエラーがないか確かめます。マイクロソフト Windows などの OS のマシンでは単にパケットを捨てるだけですが、Linux IP マスカレードはこれをリポートします。もしあなたが PPP リンクでたくさんのリポートを受けるようなら、まずこの FAQ の前の方にある「マスカレードが遅い」の項に従ってください。 --> <item><bf>マスカレード - 失敗した TCP のチェックサムエラー - </bf> このエラーは、インターネット側から来るパケットのデータ部分にエラーが あった時に見るでしょうが、それ以外の時に見ることはないでしょう。 Linux ボックスがこのパケットを受信したとき、パケットの CRC を計算して エラーがないか確かめます。 マイクロソフト Windows 等の OS のマシンでは、単にパケットを捨てるだけ ですが、 Linux IP マスカレードはこれを報告します。 もし、あなたが PPP リンクで沢山の報告をを受けるようなら、先ずこの FAQ の 前の方にある "マスカレードが遅い" の項に従ってください。 <p> <!-- <item>If all of those tips don't help, try adding the line "-vj" to your /etc/ppp/options file and restart PPPd. --> <!-- <item>もしこれらの記述のすべてが助けにならなかった場合、/etc/ppp/options ファイルに "-vj" を加えてから PPPd をリスタートしてください。 --> <item>もし上記の全てを実行しても解決できなかった場合は、 /etc/ppp/options ファイルに "-vj" を加えてから PPPd を再起動してください。 <p> <!-- <item><bf>Firewall hits</bf>: Being on the Internet with a decent firewall, you are going to be surprised how many people are going to try to get into your Linux box! So what do all these firewall logs mean? --> <!-- <item><bf>ファイアウォールヒット</bf> - インターネット上で適正なファイアウォールを備えると、なんと多くの人々があなたの Linux ボックスに入ろうとしたかに驚くでしょう。 そして、これらのファイアウォール・ログのすべては何を意味するのでしょうか。 --> <item><bf>ファイアウォールヒット</bf> - インターネット上で適正な ファイアウォールを備えると、なんと多くの人々があなたの Linux ボックスに 侵入しようとしたかに驚くでしょう。 そして、これらのファイアウォール・ログの全ては何を意味するのでしょうか? <p> <!-- From the <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> doc: --> <!-- <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10">ドキュメントから - --> <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10">の文書から - <![ %codes CDATA [ <verb> <!-- In the below rulesets, any lines that either DENY or REJECT any traffic also have a "-o" to LOG this firewall hit to the SYSLOG messages file found either in: Redhat: /var/log Slackware: /var/adm If you look at one of these firewall logs, do would see something like: 訳注: この部分はわかりやすくなるように著者に修正してもらいました。 --------ここから I've changed the text to: 7.19: -- In the below rulesets, any lines that either DENY or REJECT any traffic that also have a "-l" (that's a lowercase "L" for use with IPCHAINS) or a "-o" (for use with IPFWADM) to LOG this firewall hit to the SYSLOG messages file found either in.. --------ここまで --> 下のルールセットの中では DENY と REJECT のライン及びファイアーウォール・ヒットのログを取るために "-l" (IPCHAINSを使う場合は小文字の "L") または "-o" (IPFWADMを使う場合) を付けたすべてのラインのトラフィックは以下のどちらかの SYSLOG メッセージファイルに書き出されます。 以下に記すルールセット中、ファイアウォール・ヒットのログを取る為に、 DENY 或は REJECT の行には "-l" (IPCHAINSを使う場合。これは小文字の "L") または "-o" (IPFWADMを使う場合) が付され、これにひっかかった トラフィックは全て以下に示す SYSLOG メッセージファイルのいずれかに 書き出されます。 【訳注: 「ファイアウォール・ヒット」(firewall hit) とは、 DENY 或は REJECT ルールに適合し、パケットを叩き落した現象を指しています。 適切な日本語訳が思い付かなかったことと、この後に何度も出て来ますので、 敢えて日本語訳にしませんでした。】 Redhat: /var/log Slackware: /var/adm これらのファイアウォール・ログはこのように見えます。 - これらのファイルのいずれかに記録されるファイアウォール・ログは、 このようになるでしょう - --------------------------------------------------------------------- IPFWADM: Feb 23 07:37:01 Roadrunner kernel: IP fw-in rej eth0 TCP 12.75.147.174:1633 100.200.0.212:23 L=44 S=0x00 I=54054 F=0x0040 T=254 IPCHAINS: Packet log: input DENY eth0 PROTO=17 12.75.147.174:1633 100.200.0.212:23 L=44 S=0x00 I=54054 F=0x0040 T=254 --------------------------------------------------------------------- <!-- There is a LOT of information in this just one line. Lets break out this example so refer back to the original firewall hit as you read this. Please note that this example is for IPFWADM though it is DIRECTLY readable for IPCHAINS users. --> この単なる 1 行の中にたくさんの情報があります。この例を解きほぐしていきましょう。その後、自分のファイアーウォールヒットに戻ってこれを読んだように読んでみてください。IPCHAINS ユーザーは直接読むことができるのでこの例は IPFWADM のためにあります。 このたった 1 行の中に沢山の情報があります。 この例を解きほぐしていきましょう。 その後、自分のログファイルに記録されているファイアウォール・ヒット に戻って、これを読んだように読み変えてみてください。 IPCHAINS ユーザは直接読むことができるので、この例は IPFWADM の為に あります。 -------------- <!-- - This firewall "hit" occurred on "Feb 23 07:37:01" --> - このファイアウォールは "Feb 23 07:37:01" にヒットされました。 - このファイアウォールのヒットは "Feb 23 07:37:01" に生じました。 <!-- - This hit was on the "RoadRunner" computer. --> - このヒットは "RoadRunner" コンピュータへのヒットです。 <!-- - This hit occurred on the "IP" or TCP/IP protocol --> - このヒットは "IP" または TCP/IP プロトコルです。 <!-- - This hit came IN to ("fw-in") the firewall * Other logs can say "fw-out" for OUT or "fw-fwd" for FORWARD --> - このヒットは ファイアウォールの IN へのヒットです。 ("fw-in") * 他に "fw-out"は OUT 、 "fw-fwd" は FORWARD へのヒットです。 <!-- - This hit was then "rejECTED". * Other logs can say "deny" or "accept" --> - このヒットはここで拒絶（ "rejECTED"）されました。 * 他の LOG は "deny" または "accept"と表示されます。 <!-- - This firewall hit was on the "eth0" interface (Internet link) --> - このファイアウォールヒットは "eth0" インターフェース上のものです。 (Internet link) - このファイアウォール・ヒットは "eth0" インターフェース上の ものです。 (Internet link) <!-- - This hit was a "TCP" packet --> - このヒットは "TCP" パケットでした。 <!-- - This hit came from IP address "12.75.147.174" on return port "1633". --> - このヒットは IP アドレス "12.75.147.174" リターンポート "1633" からです。 - このヒットは IP アドレス "12.75.147.174" の返信ポート "1633" から 来ました。 <!-- - This hit was addressed to "100.200.0.212" on port "23" or TELNET. * If you don't know that port 23 is for TELNET, look at your /etc/services file to see what other ports are used for. --> - このヒットはアドレス "100.200.0.212" のポート "23" すなわち TELNET 宛です。 * もし 23 が TELNET ポートと知らないなら, /etc/services ファイルで ほかにどんなポートが使われているか見てください。 - このヒットはアドレス "100.200.0.212" のポート "23" すなわち TELNET 宛です。 * もし 23 が TELNET ポートと知らないなら, /etc/services ファイルで他にどんなポートが使われているか見てください。 <!-- - This packet was "44" bytes long --> - このパケットは "44" バイトの長さでした。 <!-- - This packet did NOT have any "Type of Service" (TOS) set --Don't worry if you don't understand this.. not required to know * divide this by 4 to get the Type of Service for ipchains users --> - このパケットは "Type of Service" (TOS) がセットされていませんでした。 --これが理解できなくても心配要りません。.. 知る必要はありません。 * ipchains ユーザーは TOS を得るにはこれを 4 で割ってください。 - このパケットには "Type of Service" (TOS) がセットされて いませんでした。 --これが理解できなくても心配要りません。.. 知る必要は ありません。 * ipchains ユーザが TOS を得るには、これを 4 で割ってください。 <!-- - This packet had the "IP ID" number of "18" --Don't worry if you don't understand this.. not required to know --> - このパケットは "IP ID" 番号 "18" を持っています。 --これが理解できなくても心配要りません。.. 知る必要はありません。 - このパケットは "IP ID" 番号 "18" を持っていました。 --これが理解できなくても心配要りません。.. 知る必要は ありません。 <!-- - This packet had a 16bit fragment offset including any TCP/IP packet flags of "0x0000" --Don't worry if you don't understand this.. not required to know * A value that started with "0x2..." or "0x3..." means the "More Fragments" bit was set so more fragmented packet will be coming in to complete this one BIG packet. * A value which started with "0x4..." or "0x5..." means that the "Don't Fragment" bit is set. * Any other values is the Fragment offset (divided by 8) to be later used to recombine into the original LARGE packet --> - このパケットは "0x0000" のフラグを持つ TCP/IP パケットを含んだ 16bit fragment offset を持っています。 --これが理解できなくても心配要りません。.. 知る必要はありません。 * "0x2..." または "0x3..." で始まる値は "More Fragments" bit が セットされていて、分割されたパケットを一つの大きなパケットに 完成させるための別のパケットが来ます。 * "0x4..." または "0x5..." で始まる値は "Don't Fragment"bit が セットされています。 * これ以外の値は元の大きなパケットを再現するために後で使われる 　（ 8 で割られた）Fragment offsetです。 - このパケットには "0x0000" のフラグを持つ TCP/IP パケットを含んだ 16bit fragment offset が設定されていました。 --これが理解できなくても心配要りません。.. 知る必要は ありません。 * "0x2..." または "0x3..." で始まる値は "More Fragments" bit がセットされていて、分割されたパケットを一つの大きな パケットに完成させる為の別のパケットが来ることを意味します。 * "0x4..." または "0x5..." で始まる値は "Don't Fragment" bit がセットされています。 * これ以外の値は元の大きなパケットを再現するために後で使われる 　(8 で割られた) フラグメントオフセットです。 <!-- - This packet had a TimeToLive (TTL) of 20. * Every hop over the Internet will subtract (1) from this number. Usually, packets will start with a number of (255) and if that number ever reaches (0), it means that realistically the packet was lost and will be deleted. --> - このパケットは 20 の TimeToLive (TTL) を持っています。 * インターネット上のすべてのホップはこの数から (1) を引きます。 　通常、パケットは (255) という数で始まります。そしてこの数が (0) に達すると実際はパケットが失われ、削除されることを意味します。 - このパケットには TimeToLive (TTL) として 20 が設定されていました。 * パケットがインターネットの経路上にある全てのルータを通過 する【訳注: hop】際に、この数から (1) が引かれます。 　通常、パケットは (255) という数で始まります。そしてこの数が (0) に達すると、実際はパケットが失われ、削除されることを意味 します。 <!-- ホントにこんな内容で正しいのでしょうか?(松田) --> </verb> ]]> <verb> 以下に記すルールセット中、ファイアウォール・ヒットのログを取る為に、 DENY 或は REJECT の行には "-l" (IPCHAINSを使う場合。これは小文字の "L") または "-o" (IPFWADMを使う場合) が付され、これにひっかかった トラフィックは全て以下に示す SYSLOG メッセージファイルのいずれかに 書き出されます。 【訳注: 「ファイアウォール・ヒット」(firewall hit) とは、 DENY 或は REJECT ルールに適合し、パケットを叩き落した現象を指しています。 適切な日本語訳が思い付かなかったことと、この後に何度も出て来ますので、 敢えて日本語訳にしませんでした。】 Redhat: /var/log Slackware: /var/adm これらのファイルのいずれかに記録されるファイアウォール・ログは、 このようになるでしょう - --------------------------------------------------------------------- IPFWADM: Feb 23 07:37:01 Roadrunner kernel: IP fw-in rej eth0 TCP 12.75.147.174:1633 100.200.0.212:23 L=44 S=0x00 I=54054 F=0x0040 T=254 IPCHAINS: Packet log: input DENY eth0 PROTO=17 12.75.147.174:1633 100.200.0.212:23 L=44 S=0x00 I=54054 F=0x0040 T=254 --------------------------------------------------------------------- このたった 1 行の中に沢山の情報があります。 この例を解きほぐしていきましょう。 その後、自分のログファイルに記録されているファイアウォール・ヒット に戻って、これを読んだように読み変えてみてください。 IPCHAINS ユーザは直接読むことができるので、この例は IPFWADM の為に あります。 -------------- - このファイアウォールのヒットは "Feb 23 07:37:01" に生じました。 - このヒットは "RoadRunner" コンピュータへのヒットです。 - このヒットは "IP" または TCP/IP プロトコルです。 - このヒットは ファイアウォールの IN へのヒットです。 ("fw-in") * 他に "fw-out"は OUT 、 "fw-fwd" は FORWARD へのヒットです。 - このヒットはここで拒絶（ "rejECTED"）されました。 * 他の LOG は "deny" または "accept"と表示されます。 - このファイアウォール・ヒットは "eth0" インターフェース上の ものです。 (Internet link) - このヒットは "TCP" パケットでした。 - このヒットは IP アドレス "12.75.147.174" の返信ポート "1633" から 来ました。 - このヒットはアドレス "100.200.0.212" のポート "23" すなわち TELNET 宛です。 * もし 23 が TELNET ポートと知らないなら, /etc/services ファイルで他にどんなポートが使われているか見てください。 - このパケットは "44" バイトの長さでした。 - このパケットには "Type of Service" (TOS) がセットされて いませんでした。 --これが理解できなくても心配要りません。.. 知る必要は ありません。 * ipchains ユーザが TOS を得るには、これを 4 で割ってください。 - このパケットは "IP ID" 番号 "18" を持っていました。 --これが理解できなくても心配要りません。.. 知る必要は ありません。 - このパケットには "0x0000" のフラグを持つ TCP/IP パケットを含んだ 16bit fragment offset が設定されていました。 --これが理解できなくても心配要りません。.. 知る必要は ありません。 * "0x2..." または "0x3..." で始まる値は "More Fragments" bit がセットされていて、分割されたパケットを一つの大きな パケットに完成させる為の別のパケットが来ることを意味します。 * "0x4..." または "0x5..." で始まる値は "Don't Fragment" bit がセットされています。 * これ以外の値は元の大きなパケットを再現するために後で使われる 　(8 で割られた) フラグメントオフセットです。 - このパケットには TimeToLive (TTL) として 20 が設定されていました。 * パケットがインターネットの経路上にある全てのルータを通過 する【訳注: hop】際に、この数から (1) が引かれます。 　通常、パケットは (255) という数で始まります。そしてこの数が (0) に達すると、実際はパケットが失われ、削除されることを意味 します。 </verb> </itemize> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>Can I configure IP MASQ to allow Internet users to directly contact internal MASQed servers? --> <sect1>インターネットユーザが直接に内部マスカレード・クライアントと連絡を 取ることができるように IP マスカレードを設定できますか? <p> <!-- Yes! With IPPORTFW, you can allow ALL or only a select few Internet hosts to contact ANY of your internal MASQed computers. <bf>This topic is completely covered in the <ref id="Forwarders"> section of this HOWTO.</bf> --> はい! IPPORTFW を使えば、全部のもしくは少数の決まったインターネットホストが マスカレード接続されたネットワーク内部の任意のコンピュータに 接続できるように設定することができます。 <bf>このトピックはこのHOWTOの <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> の章で完全に網羅されています。</bf> <label id="No-Free-Ports"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>I'm getting "kernel: ip_masq_new(proto=UDP): no free ports." in my SYSLOG files. Whats up? --> <sect1>SYSLOG ファイルに "kernel: ip_masq_new(proto=UDP): no free ports." の メッセージがあります。 どうしたのでしょう? <p> <!-- One of your internal MASQed machine is creating an abnormally high number of packets destined for the Internet. As the IP Masq server builds the MASQ table and forwards these packets out over the Internet, the table is quickly filling. Once the table is full, it will give you this error. --> <!-- ネットワーク内部のマスカレードされているコンピュータの 1 つが、インターネットに向けて異常に大きな数のパケットを発生しています。 IP マスカレード・サーバーがマスカレード・テーブルを作って、インターネット上にこれらのパケットを転送するときのテーブルが急速に書かれています。 テーブルが満杯になるとこのエラーがおきます。 --> ネットワーク内部のマスカレードされているコンピュータの 1 つが、 インターネットに向けて異常に大きな数のパケットを発生しています。 IP マスカレード・サーバがマスカレード・テーブルを作って、 インターネット上にこれらのパケットを転送するときのテーブルが急速に 書かれています。 テーブルが満杯になるとこのエラーが生じます。 <p> <!-- The only application that I known that temporarily creates this situation is a gaming program called "GameSpy". Why? Gamespy builds a server list and then pings all of the servers in the list (1000s of game servers). By creating all these pings, it creates 10,000s of quick connections in a VERY short time. Until these sessions timeout via the IP MASQ timeouts, the MASQ tables become "FULL". --> <!-- 私が知っている 一時的にこの状態を作り出すただ一つのアプリケーションは、ゲームプログラムの "GameSpy" です。 なぜでしょうか? 　Gamespy はサーバーリストを作ってリストにあるすべての数千ものサーバーに ping を打ちます。この ping を打つことにより、非常に短い時間内に数万もの急速な接続を作ります。IP マスカレード のタイムアウトによってこのセッションがタイムアウトするまで、マスカレード・テーブルは満杯になります。 --> 私が知っている 一時的にこの状態を作り出すただ一つのアプリケーションは、 ゲームプログラムの "GameSpy" です。 なぜでしょうか? Gamespy はサーバリストを作ってリストにあるすべての数千ものサーバに ping を打ちます。 この ping を打つことにより、非常に短い時間内に数万もの急速な接続を 作ります。 IP マスカレード のタイムアウトによってこのセッションがタイムアウトするまで、 マスカレード・テーブルは満杯になります。 <p> <!-- So what can you do about it? Realistically, don't use programs that do things like this. If you do get this error in your logs, find it and stop using it. If you really like GameSpy, just don't do a lot of server refreshes. Regardless, once you stop running this MASQ'ed program, this MASQ error will go away as these connections timeout in the MASQ tables. --> <!-- それに対して何を行うことができるでしょうか。 現実的には、このようなプログラムを使用しないことです。もしこのようなエラーをログに見たらそれを見つけて使うのを止めてください。もし本当に GameSpy が好きなら、ただサーバー・リフレッシュを行わないでください。とにかくこのマスカレードされたプログラムの実行をやめれば、このマスカレード・エラーはマスカレード・テーブルのコネクション・タイムアウトにより、自然に解消します。 --> どうしたらいいでしょうか? 現実的には、このようなプログラムを使用しないことです。 もしログからこのようなエラーを見つけたら、その原因になっているプログラムを 見つけて、使うのを止めてください。 もし本当に GameSpy が好きなら、サーバ・リフレッシュだけは行わないでください。 とにかく、このマスカレードされたプログラムの実行をやめれば、この マスカレード・エラーはマスカレード・テーブルの接続タイムアウトにより、 自然に解消します。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>I'm getting "ipfwadm: setsockopt failed: Protocol not available" when I try to use IPPORTFW! --> <sect1>IPPORTFW を使おうとすると "ipfwadm: setsockopt failed: Protocol not available" というエラーが出ます。 <p> <!-- If you get the error message "ipfwadm: setsockopt failed: Protocol not available", you AREN'T running your new kernel. Make sure that you moved the new kernel over, re-run LILO, and then reboot again. --> <!-- もしエラーメッセージ "ipfwadm: setsockopt failed: Protocol not available" が出るなら、新しいカーネルが走っていません。新しいカーネルに移行した事を確認し、LILO を再実行してからもういちど再起動してください。 --> もし、 "ipfwadm: setsockopt failed: Protocol not available" 【訳注: "ipfwadm: setsockopt が失敗: プロトコルは無効です"】 というエラーメッセージが出るなら、新しいカーネルが動作していません。 新しいカーネルに移行した事を確認し、LILO を再実行してからもう一度再起動して ください。 <p> <!-- Please see the end of the <ref id="Forwarders"> section for full details. --> 詳しくは <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> の章の最後のほうを見てください。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>( SAMBA ) - Microsoft File and Print Sharing and Microsoft Domain clients don't work through IP Masq! --> <!-- <sect1>( SAMBA ) - Microsoft ファイルとプリンタ共用(File and Print Sharing) と Microsoft Domain clients が IP マスカレードで働きません。 --> <sect1>( SAMBA ) - Microsoft ファイルとプリンタ共用 (File and Print Sharing) と Microsoft ドメインクライアントが IP マスカレードで動作しません。 <!-- To properly support Microsoft's SMB protocol, a IP Masq module would need to be written but there are three viable work-arounds. For more detail, please see <htmlurl url="http://support.microsoft.com/support/kb/articles/q172/2/27.asp" name="this Microsoft KnowledgeBase article">. --> <!-- Microsoft の SMB プロトコルを適切にサポートするには IP マスカレード・モジュールが書かれる必要がありますが、3 つの実行可能な方法があります。 より詳しくは <htmlurl url="http://support.microsoft.com/support/kb/articles/q172/2/27.asp" name="this Microsoft KnowledgeBase article"> を見てください。 --> Microsoft の SMB プロトコルを適切にサポートするには、 IP マスカレード・ モジュールが書かれる必要がありますが、3 つの実行可能な方法があります。 詳細は <htmlurl url="http://support.microsoft.com/support/kb/articles/q172/2/27.asp" name="this Microsoft KnowledgeBase article"> を見てください。 <p> <!-- The first work-around is to configure IPPORTFW from the <ref id="Forwarders"> section and portfw TCP ports 137, 138, and 139 to the internal Windows machine's IP address. Though this solution works, it will only works for ONE internal machine. --> <!-- 最初の方法は <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> の章を参照して IPPORTFW を設定し、TCP ポートの 137, 138, 139 番を内部の Windows マシンの IP アドレスにポートフォワードします。これでも動くのですが、この方法では内部の 1 つのマシンでしか動きません。 --> 最初の方法は <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> の章を参考にして IPPORTFW を設定し、 TCP ポートの 137, 138, 139 番を内部の Windows マシンの IP アドレスに ポートフォワードします。 これでも動作しますが、この方法では内部ネットワークのマシンのうちの 1台 でしか動作しません。 <p> <!-- The second solution is to install and configure <htmlurl url="http://www.samba.org" name="Samba"> on the Linux MASQ server. With Samba running, you can then map your internal Windows File and Print shares onto the Samba server. Then, you can mount these newly mounted SMB shares to all of your external clients. Configuring Samba is fully covered in a HOWTO found in a Linux Documentation Project and in the TrinityOS document as well. --> <!-- 第 2 の解決法は Linux マスカレード サーバー上で <htmlurl url="http://www.samba.org" name="Samba"> をインストールし、設定する事です。Samba が走れば Samba サーバー上に内部の Windows のファイルとプリンタの共有 (Windows File and Print shares) をマッピングすることができます。それから新しくマウントされた SMB 共有をすべての外部クライアントにマウントすることができます。Samba の設定方法は Linux Documentation Project の中に見つかる HOWTO の中で完全にカバーされており、同様に TrinityOS ドキュメントにもあります。 --> 第 2 の解決法は、 Linux マスカレードサーバ上で <htmlurl url="http://www.samba.org" name="Samba"> をインストールし、設定する事です。 Samba が動作するなら、 Samba サーバ上に内部の Windows のファイルと プリンタの共有 (Windows File and Print shares) をマッピングできます。 それから新しくマウントされた SMB 共有を、全ての外部クライアントに マウントできます。 Samba の設定方法は Linux Documentation Project の中にある HOWTO にて 完全に網羅されており、またこれと同様に TrinityOS の文書にもあります。 <p> <!-- The third solution is to configure a VPN (virtual private network) between the two Windows machines or between the two networks. This can either be done via the PPTP or IPSEC VPN solutions. There is a <ref id="PPTP"> patch for Linux and also a full IPSEC implimentation available for both 2.0.x and 2.2.x kernels. This solution will probably be the most reliable and secure method of all three solutions. --> <!-- 第 3 の解決法は、2 台のウインドウズマシン間で、あるいは 2 つのネットワーク間で VPN (仮想プライベート・ネットワーク) を形成することです。これは PPTP 経由か IPSEC VPN ソリューションのどちらでも行うことができます。Linux 用の <ref id="PPTP"> パッチがありますし、IPSEC の実装は 2.0.x と 2.2.x のどちらのカーネルでも可能です。この解決法が恐らく 3 つのすべての解決法の中で最も確実で最も安全な方法になるでしょう。 --> 第 3 の解決法は、2 台のウインドウズマシン間で、或は 2 つのネットワーク間で VPN (仮想プライベート・ネットワーク) を形成することです。 これは PPTP 経由か IPSEC VPN による解決方法のどちらでも行うことができます。 Linux 用の <ref id="PPTP"> パッチがありますし、IPSEC の実装は 2.0.x と 2.2.x のどちらのカーネルでも可能です。 この解決法が恐らく 3 つの全ての解決法の中で最も確実で最も安全な方法に なるでしょう。 <p> <!-- All of these solutions are NOT covered by this HOWTO. I recommend that you look at the TrinityOS documentation for IPSEC help and JJohn Hardin's PPTP page for more information. --> <!-- これらのソリューションのすべてはこの HOWTO でカバーされていません。IPSEC のヘルプは TrinityOS のドキュメントを見てください。さらに多くの情報を得るために JJohn Hardin の PPTP のページを見てください。 --> これらの解決方法の全貌は、この HOWTO では網羅されていません。 IPSEC のヘルプは TrinityOS の文書を見てください。 更に多くの情報を得たいなら、 JJohn Hardin の PPTP のページを見てください。 <p> <!-- <em>Also PLEASE understand that Microsoft's SMB protocol is VERY insecure. Because of this, running either Microsoft File and Print sharing or Windows Domain login traffic over the Internet without any encryption is a VERY BAD idea.</em> --> <!-- <em>また Microsoft's SMB プロトコルは非常にセキュリティに問題があることを理解してください。このため Microsoft ファイルとプリンタの共有 (File and Print sharing) や Windows Domain login をトラフィックの暗号化無しでインターネット上で使うことは非常に危険です。</em> --> <em>また、 Microsoft の SMB プロトコルはセキュリティ上非常に問題が あることを理解してください。 このため、 Microsoft ファイルとプリンタの共有 (File and Print sharing) や Windows ドメインログインを、インターネット上で暗号化されないトラフィックの まま使うことは非常に危険です。</em> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>( IDENT ) - IRC won't work properly for MASQed IRC users. Why? --> <sect1>( IDENT ) - IRC がマスカレード・クライアントの IRC ユーザでうまく 動作しません。 なぜでしょうか? <p> <!-- The main possible reason is because most common Linux distribution's IDENT or "Identity" servers can't deal with IP Masqueraded links. No worries though, there are IDENTs out there that will work. --> <!-- いちばん可能性が高い原因は最も一般的な Linux ディストリビューション の IDENT すなわち "Identity" サーバーは IP マスカレード・リンクに対処することができないことです。でも心配はいりません。他にいくつかの Linux で働く IDENT プログラムがあります。 --> 最も可能性が高い原因は、多くの Linux ディストリビューションにおいて共通に 装備されている IDENT, すなわち "Identity" サーバは、 IP マスカレード・ リンクに対処できないことです。 でも心配は無用です。 Linux で動作する、これに対応できる IDENT プログラムが他にあります。 <p> <!-- Installing this software is beyond the scope of this HOWTO but each tool has its own documentation. Here are some of the URLs: --> <!-- このソフトウェアのインストールはこの HOWTO の範囲外です。しかし、各ツールはそれ自身のドキュメンテーションを持っています。 ここに、URL のうちのいくつかがあります。 --> このソフトウェアのインストールはこの HOWTO の範囲外です。 しかし、各ツールにはその為の文書があります。 ここに、その URL を幾つか紹介します - <itemize> <!-- <item><url url="http://freshmeat.net/projects/oidentd/homepage/" name="Oident"> is a favorite IDENT server for MASQ users. --> <!-- <item><url url="http://freshmeat.net/projects/oidentd/homepage/" name="Oident"> は マスカレード・ユーザーのお気に入りの IDENT サーバーです。 --> <item><url url="http://freshmeat.net/projects/oidentd/homepage/" name="Oident"> は、マスカレード・ユーザお気に入りの IDENT サーバです。 <p> <!-- <item><url url="ftp://ftp.code.org/pub/linux/midentd/" name="Mident"> is another popular IDENT server. --> <!-- <item><url url="ftp://ftp.code.org/pub/linux/midentd/" name="Mident"> はもうひとつの人気のあるIDENTサーバーです。 --> <item><url url="ftp://ftp.code.org/pub/linux/midentd/" name="Mident"> は 人気のあるもう一つの IDENT サーバです。 <p> <item><url url="http://insecurity.net/sidentd.gz" name="Sident"> <p> <item><url url="ftp://sunsite.unc.edu/pub/Linux/system/network/daemons/" name="Other Idents"> </itemize> <p> <!-- Please note that some Internet IRCs servers still won't allow multiple connections from the same host even if they get Ident info and the users are different though. Complain to the remote sys admin. :) --> <!-- サーバーが Ident 情報を得てユーザが異なっていたと知っても同じホストからの多重接続を許そうとしないいくつかのインターネット IRC サーバーがあることに注意してください。サーバーのシステム管理者に苦情を言ってください。 --> サーバが Ident 情報を得てユーザが異なっていたと知っても、同じホストからの 多重接続を許そうとしないいくつかのインターネット IRC サーバがあることに 注意してください。 サーバのシステム管理者に苦情を言ってください。 :) <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>( DCC ) - mIRC doesn't work with DCC Sends --> <!-- <sect1>( DCC ) - mIRC が DCC Sends といっしょに働きません。 --> <sect1>( DCC ) - mIRC の DCC 送信が動作しません。 <p> <!-- This is a configuration problem on your copy of mIRC. To fix this, first disconnect mIRC from the IRC server. Now in mIRC, go to File --> Setup and click on the "IRC servers tab". Make sure that it is set to port 6667. If you require other ports, see below. Next, goto File --> Setup --> Local Info and clear the fields for Local Host and IP Address. Now select the checkboxes for "LOCAL HOST" and "IP address" (IP address may be checked but disabled). Next under "Lookup Method", configure it for "normal". It will NOT work if "server" is selected. That's it. Try to the IRC server again. --> <!-- これは mIRC の設定の問題です。 これを解決するためには、最初に mIRC を IRC サーバーから切断してください。 それから mIRC で、「 File 」→ 「 Setup 」 → 「 IRC servers tab 」をクリックします。ポート 6667 がセットされていることを確かめてください。 他のポートを要求するのなら下を参照してください。 次に、「 File 」→ 「 Setup 」→ 「 Local Info 」を開いて Local Host と IP Address のフィールドをクリアしてください。 次に「 LOCAL HOST 」と「 IP address 」のチェックボックスを選択します。 ( IP address はチェックできるかもしれませんが無効になります。) 次に「 Lookup Method 」の下で「 normal 」に設定します。もし「 server 」が選択されていると働きません。 それだけです。 IRC サーバーに再びつないでみてください。 --> これは mIRC の設定の問題です。 これを解決するには、最初に mIRC を IRC サーバから切断してください。 それから mIRC で、 File → Setup と進み、 IRC servers タブをクリックします。 ポート 6667 が設定されていることを確かめてください。 他のポートを要求するなら後述の記載を参照してください。 次に、 File → Setup → Local Info を開いて、 Local Host と IP Address の フィールドをクリアしてください。 次に "LOCAL HOST" と "IP address" のチェックボックスを選択します。 ( IP address はチェックできるかもしれませんが無効になります。) 次に "Lookup Method" の下で "normal" に設定します。 もし "server" が選択されていると動作しません。 それだけです。 IRC サーバに再び繋いでみてください。 【訳注: mIRC は <htmlurl url="http://www.mirc.com/"> にある、 Windows 系 OS 向けの、シェアウェアの IRC クライアントです。 なお、訳者がダウンロードして試用してみましたが、日本語の表示はできません でした。】 <p> <!-- If you require IRC server ports other than 6667, (for example, 6969) you need to edit the /etc/rc.d/rc.firewall startup file where you load the IRC MASQ modules. Edit this file and the line for "modprobe ip_masq_irc" and add to this line "ports=6667,6969". You can add additional ports as long as they are separated with commas. --> <!-- もし 6667 以外（例えば6969）のIRC サーバーのポートを要求するなら、IRC マスカレード・モジュールをロードする /etc/rc.d/rc.firewall の起動ファイルを編集する必要があります。このファイルの "modprobe ip_masq_irc" のラインを編集してこのラインに "ports=6667,6969" を追加します。カンマで区切ってさらに追加のポートを加えることができます。 --> もし 6667 以外 (例えば6969) のIRC サーバのポートを要求するなら、IRC マスカレード・モジュールをロードする為に、起動ファイル /etc/rc.d/rc.firewall を編集する必要があります。 このファイルの "modprobe ip_masq_irc" の行に "ports=6667,6969" を追加します。 更に、カンマで区切ってポートの指定を追加できます。 <p> <!-- Finally, close down any IRC clients on any MASQed machines and re-load the IRC MASQ module: --> <!-- 最後に、すべてのマスカレードされたマシン上のすべての IRC クライアントを切断して、IRC マスカレード・モジュールをリロードしてください - --> 最後に、全てのマスカレードマシン上の全ての IRC クライアントを切断して、 IRC マスカレード・モジュールをリロードしてください - <p> /sbin/rmmod ip_masq_irc /etc/rc.d/rc.firewall <label id="aliasing"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>( IP Aliasing ) - Can IP Masquerade work with only ONE Ethernet network card? --> <!-- <sect1>( IP Aliasing ) - IP マスカレードは一つだけのネットワークインターフェースカードで働きますか？ --> <sect1>( IP Aliasing ) - IP マスカレードは1枚だけのイーサネット ネットワークカードで動作しますか? <p> <!-- <bf>Yes and no</bf>. With the "IP Alias" kernel feature, users can setup multiple aliased interfaces such as eth0:1, eth0:2, etc but its is NOT recommended to use aliased interfaces for IP Masquerading. Why? Providing a secure firewall becomes very difficult with a single NIC card. In addition to this, you will experience an abnormal amount of errors on this link since incoming packets will almost simultaneously be sent out at the same time. Because of all this and NIC cards now cost less than $10, I highly recommend to just get a NIC card for each MASQed network segment. --> <!-- <bf>「はい」とも「いいえ」とも言えます。</bf>. カーネルの "IP Alias" 機能を使って eth0:1, eth0:2 のようにユーザーは別名を使った多重のインターフェースを設定できます。しかし IP マスカレードの使用にはこの別名インターフェースを使うことは推奨しません。なぜかというと、安全なファイアウォールの提供は単一の NIC カードでは非常に困難になります。これに加えて、入って来たパケットがほとんど同時に発送されるので、このリンク上で異常な量のエラーを経験するでしょう。この理由と、現在は NIC カードが $10 未満の価格ですから、私はそれぞれのマスカレード接続されたネットワーク・セグメント毎に 1 つずつの NIC を手に入れることを強くお奨めします。 --> <bf>「はい」とも「いいえ」とも言えます</bf>。 ユーザはカーネルの "IP Alias" 機能を使って、 eth0:1, eth0:2 のように 別名を使った多重のインターフェースを設定できます。 しかし、 IP マスカレードをこの別名インターフェースに使うことはお薦め しません。 何故なら、単一の NIC カードでは安全なファイアウォールを提供することが 非常に困難になります。 これに加えて、入って来たパケットがほとんど同時に発送されるので、この リンク上で異常な量のエラーを経験するでしょう。 この理由と、現在は NIC カードが $10 未満の価格ですから、私はそれぞれの マスカレード接続されたネットワーク・セグメント毎に 1 つずつの NIC を 手に入れることを強くお奨めします。 <p> <!-- Users should also understand that IP Masquerading will only work out a physical interface such as eth0, eth1, etc. MASQing out an aliased interface such as "eth0:1, eth1:1, etc" will NOT work. In other words, the following WILL NOT WORK: --> <!-- またIPマスカレードは eth0、eth1 のような物理的なインターフェース上でしか動作しないと思ってください。"eth0:1, eth1:1, など" の別名インターフェースを使ってもマスカレードは働かないでしょう。いいかえれば、以下のようなものは働きません。 --> またIPマスカレードは eth0, eth1 のような物理的なインターフェース上でしか 動作しないと思ってください。 "eth0:1, eth1:1, など" の別名インターフェースを使ってもマスカレードは 動作しないでしょう。 言い替えれば、以下のようなものは動作しません - <p> <itemize> <item> /sbin/ipfwadm -F -a m -W eth0:1 -S 192.168.0.0/24 -D 0.0.0.0/0 <item> /sbin/ipchains -A forward -i eth0:1 -s 192.168.0.0/24 -j MASQ" </itemize> <p> <!-- If you are still interested in using aliased interfaces, you need to enable the "IP Alias" feature in the kernel. You will then need to re-compile and reboot. Once running the new kernel, you need to configure Linux to use the new interface (i.e. /dev/eth0:1, etc.). After that, you can treat it as a normal Ethernet interface with some restrictions like the one above. --> <!-- 別名インターフェースの使用にまだ興味を持っていれば、カーネルの "IP Alias" 機能を enable にする必要があります。 その後、再コンパイルし、リブートする必要があるでしょう。一度新しいカーネルを実行すると、新しいインターフェース　(つまり　/dev/eth0:1　など)　を使用するために Linux を設定する必要があります。その後に、上記のようないくつかの制限がありますが通常のイーサネット・インターフェースのようにそれを扱うことができます。 --> それでも別名インターフェースにまだ興味を持っているのでしたら、カーネルの "IP Alias" 機能を有効にする必要があります。 その後、再コンパイルし、リブートします。 一度新しいカーネルを実行すると、新しいインターフェース (つまり /dev/eth0:1 など) を使用するために Linux の設定が必要になります。 その後は上記のような幾つかの制限がありますが、通常のイーサネット・ インターフェースのように扱うことができます。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>( MULTI-LAN ) - I have two MASQed LANs but they cannot communicate with eachother! --> <sect1>( MULTI-LAN ) - 私は 2 つのマスカレードされた LANを持っていますが、それらは互いに通信できません。 <p> <!-- Please see the <ref id="multiple-masqed-lans"> section for full details. --> 詳細は <ref id="multiple-masqed-lans" name="複数の内部ネットワークへの IP マスカレード"> を見てください。 <label id="shaping"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>( SHAPING ) - I want to be able to limit the speed of specific types of traffic --> <sect1>( SHAPING ) - 私は、特定のタイプのトラフィックの速度を制限したいと思います。 <p> <!-- This topic really doesn't have anything to do with IPMASQ and everthing to do with Linux's built-in traffic shaping and rate-limiting. Please see the /usr/src/linux/Documentation/networking/shaper.txt file from your local kernel sources for more details. --> このトピックは実際は IP マスカレードとは関係なく、Linux カーネルに 組み込まれているトラフィックシェーピングとレート制限機能が全てを行います。 詳細はカーネルソースツリーにある /usr/src/linux/Documentation/networking/shaper.txt を見てください。 【訳注: 「トラフィックシェーピング」は、カーネルの Traffic Shaper (CONFIG_SHAPER) というスイッチで指定される機能で、一般にネットワーク機器の 出力側で行われる機能を指します。 「レート制限」という言葉は、広い意味でのネットワークの帯域制限技術全体を 指し、前述のトラフィックシェーピングだけでなく、具体的にはポリシングやキューの マネジメント、スケジューリング等の機能も含まれます。】 <p> <!-- You will also find more information about this including several URLs under the <ref id="2.2.x-Requirements"> section for IPROUTE2. --> これに関して、IPROUTE2 の為の <ref id="2.2.x-Requirements" name="2.2.x カーネルの必要条件"> の章の下に、いくつかの URL を含む多くの情報があります。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>( ACCOUNTING ) - I need to do accounting on who is using the network --> <sect1>( ACCOUNTING ) - 私は誰がネットワークを使用しているかについて管理する必要があります。 <p> <!-- Though this doesn't have much to do with IPMASQ, here are a few ideas. If you kow of any better solutions, please email the author of this HOWTO so they can be added to the HOWTO. --> <!-- これは IP マスカレードで行うことは多くありませんが、ここに、いくつかのアイデアがあります。 もし、もっと良い解決法を知っているならこの HOWTO の著者にメールを送ってください。そうすれば、HOWTO に載せられます。 --> IP マスカレードでできることはそう多くはありませんが、ここに幾つかの アイデアがあります。 もし、もっと良い解決法を知っているなら、この HOWTO の著者にメールを 送ってください。 そうすれば、HOWTO に載せられます。 <p> <itemize> <!-- <item>Idea #1: Say you want to log ALL WWW traffic going out to the Internet. You can setup a firewall rule to ACCEPT PORT 80 traffic with with the SYN bit set and LOG it. Now mind you, this can create VERY large log files. --> <!-- <item>アイデア #1: インターネットに出ていく www トラフィックをすべて記録したいと言うことですね。ファイアーウォール・ルールに ACCEPT PORT 80 とセットしてトラフィックに SYN ビットをセットしてそれを LOG するように設定できます。ただこれは非常に大きなログ・ファイルを作成することに注意してください。 --> <item>アイデア #1 - インターネットへ出ていく www トラフィックを全て記録 したいと言うことですね。 ファイアウォール・ルールに「ポート 80 番を ACCEPT 」と設定して、 SYN ビットが設定されたトラフィックをログ記録するように設定できます。 ただ、これは非常に大きなログファイルを作成することに注意してください。 <!-- <item>Idea #2: You could run the command "ipchains -L -M" once a second and log all of those entries. You then could write a program to merge this information into one large file. --> <!-- <item>アイデア #2 - "ipchains -L -M" コマンドを 1 秒間に一度実行し、これらのエントリーのすべてをログする事ができます。その後、ひとつの大きなファイルへこの情報を合併するプログラムを書くことができます。 --> <item>アイデア #2 - "ipchains -L -M" コマンドを 1 秒間に一度実行し、 これらのエントリーの全てをログ記録しましょう。 その後、この情報をひとつの大きなファイルへ合併するプログラムを 書きましょう。 </itemize> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>( MULTIPLE IPs ) - I have several EXTERNAL IP addresses that I want to PORTFW to several internal machines. How do I do this? --> <sect1>( MULTIPLE IPs ) - いくつかの外部 IP アドレスを使って、いくつかの内部マシンへ PORTFW したいのですがどのようにやるのでしょうか。 <p> <!-- You DON'T. MASQ is a 1:Many NAT setup which not the correct tool to do what you are looking for. You are looking for a Many:Many NAT solution which is traditional NAT setup. Give a look at the <ref id="shaping"> FAQ entry below for more details on the IPROUTE2 tool that will do what you need. --> <!-- できません。マスカレード は 1: 多数 の NAT セットアップで、あなたが捜しているようなツールではありません。あなたが捜しているのは 多数: 多数 の NAT ソリューションで従来の NAT セットアップです。あなたが必要なのは IPROUTE2 ツールで、詳しくは、下の <ref id="shaping">FAQ エントリーの IPROUTE2 に関するところを見てください。 --> できません。 マスカレードは 1対多の NAT セットアップです。 あなたが捜しているようなツールではありません。 あなたが捜しているのは多対多の NAT による解決方法で、従来の NAT セットアップです。 あなたが必要なのは IPROUTE2 ツールで、詳しくは FAQ の章の <ref id="shaping" name="トラフィックシェーピング"> にある IPROUTE2 に関する箇所を見てください。 <p> <!-- For people out there who are considering enabling multiple IP addresses on one internal NIC using "IP Alias" and then PORTFWed ALL of those ports (0-65535) and used IPROUTE2 to maintain the proper source/destination IP pairs, this has been done SUCCESSFULLY on 2.0.x kernels and less successfully on 2.2.x kernels. Regardless of success, it isn't the proper way to do it and is not a supported MASQ configuration. Please, give IPROUTE2 a look.. its the right way to do true NAT. --> 1 つの内部 NIC を "IP Alias" を使って複数 IP アドレスにし、そしてこれらすべてのポート (0-65535) をポートフォワードし、IPROUTE2 を使って適切なソース／ディスティネーションの IP ペアを維持することを考えている人への回答になります。これはカーネル 2.0.x でうまくいき、カーネル 2.2.x でもよりうまくいきました。この成功にかかわらず、このやりかたはそれを行う適切な方法でなく、サポートされたマスカレードの使い方ではありません。IPROUTE2 を見てください.. 本当の NAT を行う正しい方法があります。 <!-- Todo: この文の意味を把握し、書き直す。(松田) --> <p> <!-- One thing to also note: <p> If you have a bridged DSL or Cablemodem connection (not PPPoE), things are a little more difficult because your setup isn't routed. No worries though, check out the "Bridge+Firewall, Linux Bridge+Firewall Mini-HOWTO" on the LDP. It will teach you how to get your Linux box to support multiple IP addresses on a single interface! --> <!-- またもう一つの注意ですが - <p> もし、ブリッジされた DSL かケーブル・モデム接続 (PPPoEではない)を使っていれば、あなたの構成ではルートを決められないので、少し難しくなります。でも心配はいりません。LDP の "Bridge+Firewall, Linux Bridge+Firewall Mini-HOWTO" をチェックしてください。Linux ボックスがひとつのインターフェース上で、複数の IP アドレスをサポートする方法を教えてくれるでしょう。 --> またもう一つの注意ですが - <p> もし、ブリッジされた DSL かケーブル・モデム (PPPoEではない)を使って 接続していれば、あなたの構成では経路を決められないので、少し難しくなります。 でも心配はいりません。 LDP の "Bridge+Firewall, Linux Bridge+Firewall Mini-HOWTO" をチェックして ください。 Linux ボックスが一つのインターフェース上で、複数の IP アドレスを サポートする方法を教えてくれるでしょう。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>I'm trying to use the NETSTAT command to show my Masqueraded connections but its not working --> <sect1>私はマスカレードされた接続を見る為、 NETSTAT コマンドを 使おうとしましたが、これが動作してくれません。 <p> <!-- There might be a problem with the "netstat" program in 2.0.x-based Linux distros. After a Linux reboot, running "netstat -M" works fine but after a MASQed computer runs some successful ICMP traffic like ping, traceroute, etc., you might see something like: --> <!-- 2.0.x ベースの Linux ディストリビューションの中の "netstat" プログラムには問題があるかもしれません。Linux をリブートした後、"netstat -M" を走らせるのはうまく働きます。しかし、マスカレードされたコンピューターが ping や traceroute のような成功する ICMPトラフィックを走らせた後に、何か以下のエラーを見るかもしれません。 - --> 2.0.x ベースの Linux ディストリビューションに含まれる "netstat" プログラムに 問題があるかもしれません。 Linux をリブートした後、"netstat -M" を起動すると、うまく動作します。 しかし、マスカレードされたコンピュータが ping や traceroute のような、 ICMP トラフィックを発生した後に、以下のようなエラーを見るかもしれません - <p> <verb> masq_info.c: Internal Error `ip_masquerade unknown type'. </verb> <p> <!-- The workaround for this is to use the "/sbin/ipfwadm -M -l" command. You will also notice that once the listed ICMP masquerade entries timeout, "netstat" works again. --> <!-- このための代替手段は "/sbin/ipfwadm -M -l" コマンドを使用することです。また一度リストされた ICMP マスカレード・エントリーがタイムアウトすると、"netstat" は再び働くことに気が付くでしょう。 --> このための代替手段は "/sbin/ipfwadm -M -l" コマンドを使用することです。 また一度リストされた ICMP マスカレード・エントリがタイムアウトすると、 "netstat" は再び動作することに気が付くでしょう。 <label id="PPTP"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> ( VPNs ) - I would like to get Microsoft PPTP (GRE tunnels) and/or IPSEC (Linux SWAN) tunnels running through IP MASQ --> <sect1> ( VPNs ) - Microsoft PPTP (GRE tunnels) または IPSEC (Linux SWAN) トンネルを IP マスカレード を通して使いたいのですが。 <p> <!-- This IS possible. Though it is somewhat out of the scope of this document, check out John Hardin's <htmlurl url="ftp://ftp.rubyriver.com/pub/jhardin/masquerade/ip_masq_vpn.html" name="PPTP Masq"> page for all the details. --> <p> <!-- これは可能です。それは多少このドキュメントの範囲外ですが、詳しくは John Hardin の <htmlurl url="ftp://ftp.rubyriver.com/pub/jhardin/masquerade/ip_masq_vpn.html" name="PPTP Masq"> ページをチェックしてください。 --> これは可能です。それは多少この文書の範囲外ですが、詳しくは John Hardin の <htmlurl url="ftp://ftp.rubyriver.com/pub/jhardin/masquerade/ip_masq_vpn.html" name="PPTP Masq"> ページをチェックしてください。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>I want to get the XYZ network game to work through IP MASQ but it won't work. Help! --> <!-- <sect1>XYZ ネットワーク・ゲームを IP マスカレード を通して働かせたいのですが、うまくいきません。 ヘルプ！ --> <sect1>XYZ ネットワーク・ゲームを IP マスカレード を通して使いたいのですが、 うまくいきません。助けて! <p> <!-- First, check <url url="http://www.tsmservices.com/masq" name="Steve Grevemeyer's MASQ Applications page">. If your solution isn't listed there, try patching your Linux kernel with Glenn Lamb's <url url="ftp://ftp.netcom.com/pub/mu/mumford/loose-udp-2.0.36.patch.gz" name="LooseUDP"> patch which is covered in the <ref id="LooseUDP"> section above. Also check out Dan Kegel's <url url="http://www.alumni.caltech.edu/˜dank/peer-nat.html" name="NAT Page"> for more information. --> <!-- まず、<url url="http://www.tsmservices.com/masq" name="Steve Grevemeyer's MASQ Applications page"> をチェックしてください。もし解決法がそこになかったら、LINUX カーネルに Glenn Lamb の <url url="ftp://ftp.netcom.com/pub/mu/mumford/loose-udp-2.0.36.patch.gz" name="LooseUDP"> パッチを当ててください。それは上の <ref id="LooseUDP"> セクションの中にカバーされています。またもっと多くの情報は Dan Kegel の <url url="http://www.alumni.caltech.edu/˜dank/peer-nat.html" name="NAT Page"> をチェックしてください。 --> まず、<url url="http://www.tsmservices.com/masq" name="Steve Grevemeyer's MASQ Applications page"> をチェックしてください。 もし解決法がそこになかったら、LINUX カーネルに Glenn Lamb の <url url="ftp://ftp.netcom.com/pub/mu/mumford/loose-udp-2.0.36.patch.gz" name="LooseUDP"> パッチを当ててください。 それはこの文書の <ref id="LooseUDP"> の章の中に網羅されています。 またもっと多くの情報は Dan Kegel の <url url="http://www.alumni.caltech.edu/˜dank/peer-nat.html" name="NAT Page"> をチェックしてください。 <p> <!-- If you are technically inclined, use the program "tcpdump" and sniff your network. Try to find out what protocols and port numbers your XYZ game is using. With this information in hand, subscribe to the <htmlurl url="mailto://masq-subscribe@tiffany.indyramp.com" name="IP Masq email list"> and email your results for help. --> <!-- もし技術的に興味があるなら、"tcpdump" プログラムを使ってあなたのネットワークを覗いてください。そして XYZ ゲームが使っているプロトコルとポート番号を見つけだしてください。この情報をメモしたら、<htmlurl url="mailto://masq-subscribe@tiffany.indyramp.com" name="IP Masq email list"> を閲覧して、調べた結果をメールして助けてもらってください。 --> もし技術的に興味があるなら、"tcpdump" プログラムを使って、あなたの ネットワークを覗いてみてください。 そして XYZ ゲームが使っているプロトコルとポート番号を見つけ出してください。 この情報をメモしたら、<htmlurl url="mailto://masq-subscribe@tiffany.indyramp.com" name="IP Masq メーリングリスト"> を閲覧して、調べた結果をメールして 助けてもらってください。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>IP MASQ works fine for a while but then it stops working. A reboot seems to fix this for a while. Why? --> <!-- <sect1>IP マスカレード はしばらくの間はうまく働きます。しかし、その後、働かなくなります。 再起動するとしばらくの間これが解決されたように見えます。 なぜでしょうか? --> <sect1>IP マスカレード は暫くの間はうまく動作します。 しかし、その後、動作しなくなります。 再起動すると暫くの間これが解決されたように見えます。 なぜでしょうか? <p> <!-- I bet you are using IPAUTOFW and/or you have it compiled into the kernel huh?? This is a known problem with IPAUTOFW. It is recommend to NOT even configure IPAUTOFW into the Linux kernel and use IPPORTFW option instead. This is all covered in more detail in the <ref id="Forwarders"> section. --> <!-- へえー 私は、あなたが IPAUTOFW を使っているか、またはそれをカーネルにコンパイルしていることに賭けます。これは IPAUTOFW に関する既知の問題です。 Linux カーネルに IPAUTOFW を使わないで、代わりにIPPORTFW を使ってください。これは <ref id="Forwarders"> セクションの中ですべてより詳しくカバーされています。 --> あなたは IPAUTOFW を使っているか、或はそれをカーネルにコンパイルしている ことに賭けましょう。 ね、そうじゃないですか? これは IPAUTOFW に関する既知の問題です。 Linux カーネルに IPAUTOFW を使わないで、代わりにIPPORTFW を使ってください。 詳細は <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> の章の中で網羅されています。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>Internal MASQed computers cannot send SMTP or POP-3 mail! --> <!-- <sect1>ネットワーク内部のマスカレードされているコンピュータが SMTP すなわち POP-3 メールをおくりません！ --> <sect1>ネットワーク内部のマスカレードされているコンピュータが SMTP や POP-3 メールを送ってくれません! <p> <!-- Though this isn't a Masquerading issue per se but many people do this so it should be mentioned. --> これはマスカレーディングの問題ではないのですが、多くの人がこうなるので、言及します。 <p> <!-- SMTP: The issue is that you are probably using your Linux box as a SMTP relay server and get the following error: --> <!-- SMTP - 問題は、SMTP 中継サーバーとして恐らく Linux ボックスを使用しており、次のエラーを得るということです。 - --> SMTP - 問題は、恐らく SMTP 中継サーバとして Linux ボックスを使用しており、 以下のエラーが発生しているのではないでしょうか - <!-- <p><tscreen> "error from mail server: we do not relay" </tscreen> --> <p><tscreen> "error from mail server: we do not relay" (メールサーバからのエラー - 転送できません。) </tscreen> <!-- Newer versions of Sendmail and other Mail Transfer Agents (MTAs) disable relaying by default (this is a good thing). So do the following to fix this: <p> --> <!-- Sendmail のより新しいバージョンや他のメール転送エージェント (MTA) サーバーは、デフォルトで中継を禁止にしています。(これはよいことです) したがって、これを解決するために下記を行ってください。 - --> Sendmail のより新しいバージョンや他のメール転送エージェント (MTA) サーバは、 デフォルトで中継を禁止しています。(これはよいことです) 従って、これを解決するために下記を行ってください - <itemize> <!-- <item>Sendmail: Enable specific relaying for your internal MASQed machines by editing the /etc/sendmail.cw file and add the hostname and domain name of your internal MASQed machine. You should also check to see that the /etc/hosts file has the IP address and Fully Qualified Domain Name (FQDN) configured in it. Once this is done, you need to restart Sendmail for it to re-read its configuration files. This is covered in <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 25"> --> <!-- <item>Sendmail - /etc/sendmail.cw ファイルを編集して、そのファイルにネットワーク内部のマスカレードされているコンピュータのホスト名及びドメイン名を加える事により、マスカレードされているマシンからのメールを中継することを許可してください。さらに /etc/hosts ファイルの中で IP アドレス及び FQDN (ホスト名とドメイン名が完全に記述された名前)を設定していることをチェックしてください。終わったら、その設定ファイルを読みこむために sendmail をリスタートする必要があります。 これは <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 25"> の中でカバーされています。 --> <item>Sendmail - /etc/sendmail.cw ファイルを編集して、そのファイルに ネットワーク内部のマスカレードされているコンピュータのホスト名及び ドメイン名を加えて、マスカレードされているマシンからのメールの 中継を許可してください。 更に /etc/hosts ファイルの中で IP アドレス及び FQDN (ホスト名と ドメイン名が完全に記述された名前) を設定していることをチェックして ください。 終わったら、その設定ファイルを読み込む為に sendmail を再起動する 必要があります。 これは <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 25"> の中で網羅されています。 </itemize> <!-- POP-3: Some users configure their internal MASQ'ed computer's POP-3 clients to connect to some external SMTP server. While this is fine, many SMTP servers out there will try to IDENT your connection on port 113. Most likely your problem stems around your default Masquerade policy being set to DENY. This is BAD. Set it to REJECT and re-run your rc.firewall ruleset. --> <!-- POP-3 - あるユーザはネットワーク内部のマスカレードされているコンピュータの POP-3 クライアントを、ある外部の SMTP サーバーに接続するように設定します。接続がされている間、多くの SMTP サーバーは、ポート 113 でこの接続に IDENT を試みるでしょう。 最もありそうな問題はデフォルトのマスカレード・ポリシーが DENY にセットされていることです。これは良くありません。これを REJECT にして、rc.firewall ルールセットを再実行してください。 --> POP-3 - あるユーザはネットワーク内部のマスカレードされているコンピュータの POP-3 クライアントを、ある外部の SMTP サーバへ接続するように設定します。 接続がされている間、多くの SMTP サーバはポート 113 を通じてこの接続に IDENT を試みるでしょう。 ここで最もありがちな問題は、デフォルトのマスカレード・ポリシーが DENY に 設定されていることです。 これは良くありません。 これを REJECT にして、rc.firewall ルールセットを再実行してください。 <label id="iproute2"> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>( IPROUTE2 ) - I need different internal MASQed networks to exit on different external IP addresses --> <!-- <sect1>( IPROUTE2 ) - 私は外に出るための異なった外部 IP アドレス上で異なる内部マスカレードされたネットワークが必要です。 --> <sect1>( IPROUTE2 ) - 私は、外に出るための異なる外部 IP アドレスを、異なる 内部マスカレードネットワークの各々に割り当てる必要があります。 <p> <!-- Say you have the following setup: You have multiple internal networks and also multiple external IP addresses and/or networks. What you want to do is have LAN #1 to only use External IP #1 but you wan LAN #2 to use External IP #2. --> <!-- この問題を言い換えるとこういうことです。 - 複数の内部ネットワークとさらに複数の外部 IP アドレスまたはネットワークを持っています。やりたいことは LAN #1 からは外部 IP #1 だけを使用し、 LAN #2 からは外部 IP #2 を使用することです。 --> この問題を言い換えるとこういうことです - 複数の内部ネットワークと更に 複数の外部 IP アドレスまたはネットワークを持っています。 やりたいことは LAN #1 からは外部 IP #1 だけを使用し、LAN #2 からは 外部 IP #2 を使用することです。 <p> <!--Internal-->内部 LAN -%#045;--------> <!--official-->公式な IP LAN #1 <!--External-->外部 IP #1 192.168.1.x --> 123.123.123.11 LAN #2 <!--External-->外部 IP #2 192.168.2.x --> 123.123.123.12 <p> <!-- Basically, what we have described here is routing NOT only on the destination address (typical IP routing) but also routing based upon the SOURCE address as well. This is typically called "policy-based routing" or "source routing". This functionality is NOT available in 2.0.x kernels, it *IS* available for 2.2.x kernels via the IPROUTE2 package, and it is not built into the new 2.4.x kernels using IPTABLES. --> <!-- 基本的に、ここで記述したものは送信先アドレスによるルーティング(典型的な IP ルーティング)だけでなく、送信元アドレスに基づいてのルーティングについてです。これは一般的に "policy-based routing"（ポリシーに基づいたルーティング）あるいは "source routing"（送信元ルーティング）と呼ばれます。この機能はカーネル 2.0.x では提供されていませんが、カーネル 2.2.x では IPROUTE2 パッケージによって提供されています。そしてこれは、IPTABLES を使う新しいカーネル 2.4.x には組み込まれていません。 --> 基本的に、ここで記述したものは宛先アドレスによるルーティング (典型的な IP ルーティング) だけでなく、送信元アドレスに基づいてのルーティングについてです。 これは一般的に "policy-based routing" 【訳注: ポリシーに基づいた ルーティング】 あるいは "source routing" 【訳注: 送信元ルーティング】と 呼ばれます。 この機能はカーネル 2.0.x では提供されていませんが、カーネル 2.2.x では IPROUTE2 パッケージによって提供されています。 そしてこれは IPTABLES を使う新しいカーネル 2.4.x には組み込まれていません。 <p> <!-- First, you have to understand that both IPFWADM and IPCHAINS get involved *AFTER* the routing system has decided where to send a given packet. This statement really ought to be stamped in big red letters on all IPFWADM/IPCHAINS/IPMASQ documentation. The reason for this is that users MUST get their routing setup right first and then start adding IPFWADM/IPCHAINS and/or Masq features. --> <!-- 最初に、IPFWADM 及び IPCHAINS の両方はルーティングシステムが与えられたパケットをどこへ送るべきか決定した後、関わっていくことを理解しなければなりません。 このステートメントは、実際にすべての IPFWADM/IPCHAINS/IPMASQ ドキュメンテーションに大きな赤いスタンプで押されるほど重要です。この理由は、ユーザは最初にルーティングを正しくセット・アップしなければならず、その後に IPFWADM/IPCHAINS 及び(または)マスカレード機能を付加し始めることができるからです。 --> 先ず、 IPFWADM 及び IPCHAINS は両方共、ルーティングシステムが受け取った パケットをどこへ送るべきか決定した *後になって* 初めて関与するものだという ことを理解しなければなりません。 この動作の仕組みは、全ての IPFWADM/IPCHAINS/IPMASQ の文書に大きな赤い スタンプで押されるほど、本当に重要なことです。 この理由は、ユーザは最初にルーティングを正しく設定しなければならず、 その後に IPFWADM/IPCHAINS 及び/又はマスカレード機能を追加し始めることが できるからです。 <p> <!-- Anyway, for the example case shown above, you need to persuade the routing system to direct packets from 192.168.1.x via 123.123.1233.11 and packets from 192.168.2.x via 123.123.123.12. That is the hard part and adding Masq on top of correct routing is easy. --> とにかく、上に示された例のケースについては、ルーティングシステムが 192.168.1.x からのパケットは 123.123.123.11 経由に、 192.168.2.x からの パケットは 123.123.123.12 経由となるようにさせる必要があります。 ここが難しい部分で、ルーティングが正しくなればその上にマスカレードを 加えるのは簡単です。 <p> <!-- To do this fancy routing, you will use IPROUTE2. Because this functionality has NOTHING to do with IPMASQ, this HOWTO does not cover this topic in great detail. Please see <ref id="2.2.x-Requirements"> for complete URLs and documentation for this topic. --> この気まぐれなルーティングを行うために、IPROUTE2 を使用します。 この機能は全く IP マスカレードと関係がないので、このHOWTO はこのトピックを それほど詳しく網羅しません。 このトピックについては <ref id="2.2.x-Requirements" name="2.2.x カーネルの必要条件"> にある完全な URL と文書を見てください。 <p> <!-- The "iprule" and "iproute" commands are the same as "ip rule" and "ip route" commands (I prefer the former since it is easier to search for.) All the commands below are completely untested, if they do not work, please contact the author of IPROUTE2.. not David Ranch or anyone on the Masq email list as it has NOTHING to do with IP Masquerading. --> "iprule" と "iproute" コマンドは "ip rule" と "ip route" コマンドと同じです。 (私は検索し易いので前者のほうが好きです。) 下記のコマンドは全て完全には試験されていません。 これが動作しない場合、 IPROUTE2 の著者と連絡をとってください..これは全く IP マスカレーディングと関係がありませんので、David Ranch や IP マスカレード・メーリングリストの誰とも関係しません。 <p> <!-- The first few commands only need to be done once at boot, say in /etc/rc.d/rc.local file. --> 最初のいくつかのコマンドは起動時に一度だけ実行する必要があるだけですので、 /etc/rc.d/rc.local ファイルの中に記述します。 <p> <![ %codes CDATA [ <tscreen> <verb> <!-- # Allow internal LANs to route to each other, no masq. /sbin/iprule add from 192.168.0.0/16 to 192.168.0.0/16 table main pref 100 # All other traffic from 192.168.1.x is external, handle by table 101 /sbin/iprule add from 192.168.1.0/24 to 0/0 table 101 pref 102 # All other traffic from 192.168.2.x is external, handle by table 102 /sbin/iprule add from 192.168.2.0/24 to 0/0 table 102 pref 102 --> # 内部LANが互いのルーティングを可能にします。 /sbin/iprule add from 192.168.0.0/16 to 192.168.0.0/16 table main pref 100 # すべての他の 192.168.1.x からのトラフィックは外部です、テーブル 101 によって扱う。 /sbin/iprule add from 192.168.1.0/24 to 0/0 table 101 pref 102 # すべての他の 192.168.2.x からのトラフィックは外部です、テーブル 102 によって扱う。 /sbin/iprule add from 192.168.2.0/24 to 0/0 table 102 pref 102 <!-- These commands need to be issued when eth0 is configured, perhaps in /etc/sysconfig/network-scripts/ifup-post (for Redhat systems). Be sure to do them by hand first to make sure they work. --> eth0 が設定されている時に、これらのコマンドを実行する必要があります。 Redhat システムでは、恐らく /etc/sysconfig/network-scripts/ifup-post の中で記述することとなるでしょう。 これが動作することを確かめるために最初は必ず手動で行ってください。 <!-- # Table 101 forces all assigned packets out via 123.123.123.11 /sbin/iproute add table 101 via 62123.123.123.11 # Table 102 forces all assigned packets out via 123.123.123.12 /sbin/iproute add table 102 via 62123.123.123.12 --> # テーブル 101 は、割り当てられたパケットをすべて 123.123.123.11 経由に指示します。 /sbin/iproute add table 101 via 62123.123.123.11 # テーブル 102 は、割り当てられたパケットをすべて 123.123.123.12 経由に指示します。 /sbin/iproute add table 102 via 62123.123.123.12 <!-- At this stage, you should find that packets from 192.168.1.x to the outside world are being routed via 123.123.123.11, packets from 192.168.2.x are routed via 123.123.123.12. --> この段階では、192.168.1.x から外部の世界へのパケットが 123.123.123.11 を経由しており、192.168.2.x からのパケットは 123.123.123.12 を経由していることを知っておいてください。 <!-- Once routing is correct, now you can add any IPFWADM or IPCHAINS rules. The following examples are for IPCHAINS: --> ルーティングが正確になったら、今度はどんな IPFWADM あるいは IPCHAINS ルールをも加えることができます。 次の例は IPCHAINS 用です - /sbin/ipchains -A forward -i ppp+ -j MASQ <!-- If everything hangs together, the masq code will see packets being routed out on 123.123.123.11 and 123.123.123.12 and will use those addresses as the masq source address. --> すべての設定が合っている場合、マスカレード・コードはパケットが 123.123.123.11 と 123.123.123.12 経由にルーティングされていることを見て、マスカレードの送信元・アドレスとしてそれらのアドレスを使用します。 </verb> </tscreen> ]]> <tscreen> <verb> # 内部LANが互いのルーティングを可能にします。 /sbin/iprule add from 192.168.0.0/16 to 192.168.0.0/16 table main pref 100 # すべての他の 192.168.1.x からのトラフィックは外部です、テーブル 101 によって扱う。 /sbin/iprule add from 192.168.1.0/24 to 0/0 table 101 pref 102 # すべての他の 192.168.2.x からのトラフィックは外部です、テーブル 102 によって扱う。 /sbin/iprule add from 192.168.2.0/24 to 0/0 table 102 pref 102 eth0 が設定されている時に、これらのコマンドを実行する必要があります。 Redhat システムでは、恐らく /etc/sysconfig/network-scripts/ifup-post の中で記述することとなるでしょう。 これが動作することを確かめるために最初は必ず手動で行ってください。 # テーブル 101 は、割り当てられたパケットをすべて 123.123.123.11 経由に指示します。 /sbin/iproute add table 101 via 62123.123.123.11 # テーブル 102 は、割り当てられたパケットをすべて 123.123.123.12 経由に指示します。 /sbin/iproute add table 102 via 62123.123.123.12 この段階では、192.168.1.x から外部の世界へのパケットが 123.123.123.11 を経由しており、 192.168.2.x からのパケットは 123.123.123.12 を経由していることを知っておいてください。 ルーティングが正確になったら、今度はどんな IPFWADM あるいは IPCHAINS ルールをも加えることができます。 次の例は IPCHAINS 用です - /sbin/ipchains -A forward -i ppp+ -j MASQ すべての設定が合っている場合、マスカレード・コードはパケットが 123.123.123.11 と 123.123.123.12 経由にルーティングされていることを見て、マスカレードの 送信元・アドレスとしてそれらのアドレスを使用します。 </verb> </tscreen> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Why do the new 2.1.x and 2.2.x kernels use IPCHAINS instead of IPFWADM? --> <sect1> なぜ新しい 2.1.x 及び 2.2.x カーネルは、IPFWADM の代わりに IPCHAINS を使うのですか? <p> <!-- IPCHAINS supports the following features that IPFWADM doesn't: --> IPCHAINS は IPFWADM が持っていない次の機能をサポートします。 - <p> <itemize> <!-- <item>"Quality of Service" (QoS support) --> <item>"サービスの質 " (QoS サポート) <p> <!-- <item>A TREE style chains system vs. LINEAR system like IPFWADM (Eg. this allows something like "if it is ppp0, jump to this chain (which contains its own difference set of rules)" --> <item>IPFWADM のような線形システムに対して、ツリー形式の チェインシステムです。(例えば、 IPCHAINS は「もしそれが ppp0 であれば、 (異なるルール群を含んでいる)このチェインにジャンプせよ。」の様なことが できます。) <p> <!-- <item>IPCHAINS is more flexible with configuration. For example, it has the "replace" command (in addition to "insert" and "add"). You can also negate rules (e.g. "discard any outbound packets that don't come from my registered IP" so that you aren't the source of spoofed attacks). --> <item>IPCHAINS は設定がより柔軟です。 例えば、("insert" 【訳注: 挿入】と "add" 【訳注: 追加】に加えて) "replace" 【訳注: 置換】コマンドを装備しています。 さらにルールを否定することができます。 (例えば、「私のネットワーク上で登録済みの IP アドレスから発生した ものではない外向きのパケットを全て廃棄します。」と設定すれば、 あなたは代理攻撃の源にはならずに済みます。) <p> <!-- <item>IPCHAINS can filter any IP protocol explicitly, not just TCP, UDP, ICMP --> <item>IPCHAINSは単なるTCP, UDP, ICMP だけでなく、任意の IP プロトコルを 明示的にフィルタできます。 </itemize> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> I've just upgraded to the 2.2.x kernels, why isn't IP Masquerade working? --> <sect1> カーネルを 2.2.x にアップグレードしたら、 IP マスカレードが 動かなくなりました。なぜでしょう? <p> <!-- There are several things you should check assuming your Linux IP Masq box already have proper connection to the Internet and your LAN: --> IP マスカレードを行っている Linux マシンが、既にインターネットと LAN に 正しく接続されているのであれば、以下の項目をチェックしてみてください - <p> <itemize> <!-- <item>Make sure you have the necessary features and modules are compiled and loaded. See earlier sections for detail. --> <item>必要な機能とモジュールがコンパイルされ、ロードされていることを 確かめてください。 詳しくは、前の方の章を見てください。 <p> <!-- <item>Check <tt>/usr/src/linux/Documentation/Changes</tt> and make sure you have the minimal requirement for the network tools installed. --> <item><tt>/usr/src/linux/Documentation/Changes</tt> をチェックして、 最低限必要なネットワーク関係のツールがインストールされていることを 確かめてください。 <p> <!-- <item>Make sure you followed all the tests in the <ref id="Testing"> section of the HOWTO. --> <item>この HOWTO の <ref id="Testing" name="IP マスカレードのテスト"> の章の中にあるすべてのテストに従ったか確認してください。 <p> <!-- <item>You should use <url url="http://netfilter.filewatcher.org/ipchains/" name="ipchains"> to manipulate IP Masq and firewalling rules. --> <item>IP マスカレードとファイアーウォール・ルールを設定するために <url url="http://netfilter.filewatcher.org/ipchains/" name="ipchains"> を 使わなければなりません。 <p> <!-- <item>The standard IPAUTOFW and IPPORTFW port forwarders have been replaced by <url url="http://juanjox.kernelnotes.org/" name="IPMASQADM">. You'll need to apply these patches to the kernel, re-compile the kernel, compile the new IPMASQADM tool and then convert your old IPAUTOFW/IPPORTFW firewall rulesets to the new syntax. This is completely covered in the <ref id="Forwarders"> section. --> <item>標準の IPAUTOFW 及び IPPORTFW ポート転送プログラムは <url url="http://juanjox.kernelnotes.org/" name="IPMASQADM"> に置き換えられました。 カーネルにこれらのパッチを当て、カーネルを再コンパイルし、新しい IPMASQADM ツールをコンパイルし、かつ、次に古い IPAUTOFW/IPPORTFW ファイアウォール・ルールセットを新しい構文に変換する必要があります。 これは、 <ref id="Forwarders" name="フォワーダ (ポート転送ツール)"> の章で完全に網羅されています。 <p> <!-- <item>Go through all setup and configuration again! A lot of time it's just a typo or a simple mistake you are overlooking. --> <item>全ての設定をもう一度やり直してみましょう! 原因の殆どはコマンドの打ち間違いや単純なミスの見逃しです。 </itemize> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> I've just upgraded to a 2.0.38+ kernels later, why isn't IP Masquerade working? --> <sect1> カーネルを 2.0.38 (あるいはそれ以降) にアップグレードしたら、 IP マスカレードが動かなくなりました。なぜでしょう? <p> <!-- There are several things you should check assuming your Linux IP Masq box already have proper connection to the Internet and your LAN: --> IP マスカレードを行っている Linux マシンが、既にインターネットと LAN に 正しく接続されているのであれば、以下の項目をチェックしてみてください - <p> <itemize> <!-- <item>Make sure you have the necessary features and modules are compiled and loaded. See earlier sections for detail. --> <item>必要な機能とモジュールがコンパイルされ、ロードされていることを確認してください。詳しくは、前の方の章を見てください。 <p> <!-- <item>Check <tt>/usr/src/linux/Documentation/Changes</tt> and make sure you have the minimal requirement for the network tools installed. --> <item><tt>/usr/src/linux/Documentation/Changes</tt> をチェックして、最低限必要なネットワーク関係のツールがインストールされていることを確かめてください。 <p> <!-- <item>Make sure you followed all the tests in the <ref id="Testing"> section of the HOWTO. --> <item>この HOWTO の <ref id="Testing" name="IP マスカレードのテスト"> の章の中にある全てのテストに従ったか確認してください。 <p> <!-- <item>You should use <url url="http://www.xos.nl/" name="ipfwadm"> to manipulate IP Masq and firewalling rules. If you want to use IPCHAINS, you'll need to apply a patch the 2.0.x kernels. --> <item>IP マスカレードとファイアウォール・ルールを設定するためには<url url="http://www.xos.nl/" name="ipfwadm"> を使わなければなりません。 もし IPCHAINS を使いたいのなら、カーネル 2.0.x にパッチを当てる必要があります。 <p> <!-- <item>Go through all setup and configuration again! A lot of time it's just a typo or a simple mistake you overlooked. --> <item>全ての設定をもう一度やり直してみましょう! 原因の殆どはコマンドの打ち間違いや単純なミスの見逃しです。 </itemize> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1>I need help with EQL connections and IP Masq --> <sect1>EQL 接続と IP マスカレードを使たいのですが。 <p> <!-- EQL has nothing to do with IP Masq though they are commonly teamed up on Linux boxes. Because of this, I recommend to check out the NEW version of <htmlurl url="http://home.indyramp.com/masq/eql/eql.html" name="Robert Novak's EQL HOWTO"> for all your EQL needs. --> EQL は IP マスカレードは、よく Linux ボックス上で組み合わせられますが、 これらは全く関係ありません。 EQL が必要なら、<htmlurl url="http://home.indyramp.com/masq/eql/eql.html" name="Robert Novak's EQL HOWTO"> の最新バージョンをチェックすることを薦めます。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> I can't get IP Masquerade to work! What options do I have for Windows Platforms? --> <sect1> IP マスカレードが動作してくれません! Windows プラットフォーム上での選択肢はありますか? <!-- ここは質問者が Linux 上の IP Masq の設定に失敗し、 Windows に逃げようと する質問であるものと思います。(松田) --> <p> <!-- Giving up a free, reliable, high performance solution that works on minimal hardware and pay a fortune for something that needs more hardware, lower performance and less reliable? (IMHO. And yes, I have real life experience with these ;-) --> 最低限のハードウェアで動作し、フリーで信頼性があり、高性能な解決法を 諦めて、重いハードウェアを必要とする、性能の低い、その上信頼性もない 方法の為に金を払うのですか? (これは私の個人的な意見です。勿論、私も実際に このような経験をしたことがあります ;-) <p> <!-- Okay, it's your call. If you want a Windows NAT and/or proxy solution, here is a decent listing. I have no preference of these tools since I haven't used them before. --> いいでしょう、あなたが必要だと言うなら仕方がありません。 Windows NAT 及び/又は プロキシによる解決を望むのなら、ここに丁度良い一覧が あります。 私はこれらのツールに関して今まで使ったことがないので、これらの好みは わかりません。 <p> <p> <itemize> <!-- <item>Firesock (from the makers of Trumpet Winsock) <itemize> <item>Does Proxy <item><htmlurl url="http://www.trumpet.com.au" name="http://www.trumpet.com.au"> </itemize> --> <item>Firesock (Trumpet Winsockのメーカーから) <itemize> <item>Does Proxy <item><htmlurl url="http://www.trumpet.com.au" name="http://www.trumpet.com.au"> </itemize> <p> <!-- <item>Iproute <itemize> <item>DOS program designed to run on 286+ class computers <item>requires another box like Linux MASQ <item><htmlurl url="http://www.mischler.com/iproute/" name="http://www.mischler.com/iproute/"> </itemize> --> <item>Iproute <itemize> <item>286+ クラスのコンピュータで働くように設計された DOS プログラム。 <item>Linux マスカレードのような他のボックスを必要とする。 <item><htmlurl url="http://www.mischler.com/iproute/" name="http://www.mischler.com/iproute/"> </itemize> <p> <!-- <item>Microsoft Proxy <itemize> <item>Requires Windows NT Server <item>Quite expensive <item><htmlurl url="http://www.microsoft.com" name="http://www.microsoft.com"> </itemize> --> <item>Microsoft Proxy <itemize> <item>Windows NT Server が必要 <item>非常に高価 <item><htmlurl url="http://www.microsoft.com" name="http://www.microsoft.com"> </itemize> <p> <!-- <item>NAT32 <itemize> <item>Windows 95/98/NT compatible <item><htmlurl url="http://www.nat32.com" name="http://www.nat32.com"> <item>Roughly $25 for Win9x and $47 for Win9x and WinNT </itemize> --> <item>NAT32 <itemize> <item>Windows 95/98/NT コンパチブル <item><htmlurl url="http://www.nat32.com" name="http://www.nat32.com"> <item>Win9x 用は約 $25 Win9x と WinNT 用は約 $47 </itemize> <p> <item>SyGate <itemize> <item><htmlurl url="http://www.sygate.com" name="http://www.sygate.com"> </itemize> <p> <!-- <item>Wingate <itemize> <item>Does proxy <item>Costs roughly $30 for 2-3 IPs <item><htmlurl url="http://www.wingate.com" name="http://www.wingate.com"> </itemize> --> <item>Wingate <itemize> <item>プロキシ機能 <item>価格は 2-3 クライアント用で $30 <item><htmlurl url="http://www.wingate.com" name="http://www.wingate.com"> </itemize> <p> <item>Winroute <itemize> <item>NAT 機能 <item><htmlurl url="http://www.winroute.cz/en/" name="http://www.winroute.cz/en/"> </itemize> </itemize> <p> <p> <!-- Lastly, do a web search on "MS Proxy Server", "Wingate", "WinProxy", or goto <url url="http://www.winfiles.com" name="www.winfiles.com">. And definitely DON'T tell anyone that we sent you. --> 最後に "MS Proxy Server", "Wingate", "WinProxy" でウェブサーチをするか、<url url="http://www.winfiles.com" name="www.winfiles.com"> に行ってみてください。でも、絶対に誰にも私たちが教えたと言わないでください。 【訳注: 日本では <htmlurl url="http://homepage2.nifty.com/spw/bjd/index.html" name="BlackJumboDog"> が有名でしょう。】 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> I want to help on IP Masquerade development. What can I do? --> <sect1> IPマスカレード開発に協力したいのですが、何ができますか? <p> <!-- Join the Linux IP Masquerading DEVELOPERS list and ask the developers there what you can help with. For more details on joining the lists, check out the <ref id="Masq-List"> FAQ section. --> Linux IP マスカレード開発者メーリングリストに参加して、あなたのできることを開発者に尋ねてください。リストへの参加についてのより詳細は、FAQの章の <ref id="Masq-List" name="IP マスカレード・メーリングリスト"> をチェックしてください。 <p> <!-- Please DON'T ask NON-IP-Masquerade development related questions there!!!! --> そこで IP マスカレードの開発に関係ない質問はしないでください!!!! <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Where can I find more information on IP Masquerade? --> <sect1> IP マスカレードの情報がもっと欲しいのですが。 <p> <!-- You can find more information on IP Masquerade at the <url url="http://ipmasq.cjb.net/" name="Linux IP Masquerade Resource"> that David Ranch maintains. --> IP マスカレードに関するより多くの情報は David Ranch が管理している <url url="http://ipmasq.cjb.net/" name="Linux IP マスカレードの情報源"> で見つけられます。 <p> <!-- You can also find more information at <url url="http://www.ecst.csuchico.edu/˜dranch/LINUX/index-linux.html" name="Dranch's Linux page"> where the TrinityOS and other Linux documents are kept. --> また TrinityOS と他の Linux の文書が含まれている <url url="http://www.ecst.csuchico.edu/˜dranch/LINUX/index-linux.html" name="Dranch's Linux page"> にて、より多くの情報を見つけられます。 <p> <!-- You may also find more information at <url url="http://www.indyramp.com/masq/" name="The Semi-Original Linux IP Masquerading Web Site"> maintained by Indyramp Consulting, who also provides the IP Masq mailing lists. --> IP マスカレードメーリングリストを提供している Indyramp Consulting が管理している <url url="http://www.indyramp.com/masq/" name="The Semi-Original Linux IP Masquerading Web Site"> でも、もっと多くの情報を見つけられるでしょう。 <p> <!-- Lastly, you can look for specific questions in the IP MASQ and IP MASQ DEV email archives or ask a specific question on these lists. Check out the <ref id="Masq-List"> FAQ item for more details. --> 最後に IP マスカレードメーリングリストのアーカイブや IP マスカレード 開発者メーリングリストのアーカイブの中から特定の質問を捜すことができますし、 これらのメーリングリストに質問をすることもできます。 詳細は FAQ の <ref id="Masq-List" name="IP マスカレード・メーリングリスト"> をチェックしてください。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> I want to translate this HOWTO to another language, what should I do? --> <sect1> この HOWTO を別の言語に翻訳したいのですが、どうすればいいでしょう? <p> <!-- Make sure the language you want to translate to is not already covered by someone else. But, most of the translated HOWTOs are now OLD and need to be updated. A list of available HOWTO translations are available at the <url url="http://ipmasq.cjb.net/" name="Linux IP Masquerade Resource">. --> <!-- 翻訳したい言語が誰か他の人によってまだ網羅されていないことを 確かめてください。 (covered が網羅というのはちょっとアレなので、senda が修正) --> 訳そうとする言語での翻訳を、まだ誰も出していないことを確認してください。 しかし、翻訳された HOWTO の殆どは今古くなっていて、更新する必要があります。 現在ある HOWTO 翻訳の一覧は <url url="http://ipmasq.cjb.net/" name="Linux IP マスカレードの情報源"> で見つけられます。 <p> <!-- If a copy of a <bf>current</bf> IP MASQ HOWTO isn't in your proposed language, please download the newest copy of the IP-MASQ HOWTO SGML code from the <url url="http://ipmasq.cjb.net/" name="Linux IP Masquerade Resource">. From there, begin your work while maintaining good SGML coding. For more help on SGML, check out <url url="http://www.sgmltools.org" name="www.sgmltools.org"> --> もし翻訳したい言語の IP マスカレード HOWTO の<bf>現バージョン</bf>の コピーが無ければ、 <url url="http://ipmasq.cjb.net/" name="Linux IP マスカレードの情報源"> から IP マスカレード HOWTO の SGML コードの最新版をダウンロードしてください。 そこから、良い SGML コーディングを維持しながら翻訳を進めてください。 SGML に関するより多くのヘルプについては、<url url="http://www.sgmltools.org" name="www.sgmltools.org"> をチェックしてください。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> This HOWTO seems out of date, are you still maintaining it? Can you include more information on ...? Are there any plans for making this better? --> <sect1> この HOWTO は古くなっているように見えますが、まだこれを保守し続けて いますか? ...に関する情報を追加してもらえますか? この HOWTO を改善する予定はありますか? <p> <!-- Yes, this HOWTO is still being maintained. In the past, we've been guilty of being too busy working on two jobs and don't have much time to work on this, my apology. As of v1.50, David Ranch has begun to revamp the document and get it current again. --> はい、この HOWTO は保守され続けています。 ごめんなさい。 過去に私たちは 2 つの仕事で忙し過ぎて、この改訂に費やす時間が取れずに いました。 v1.50 の時点で、 David Ranch は文書を大幅に改訂し、現在のものになっています。 <p> <!-- If you think of a topic that could be included in the HOWTO, please send email to <htmlurl url="mailto:ambrose@writeme.com" name="ambrose@writeme.com"> and <htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net">. It will be even better if you can provide that information. We will then include the information into the HOWTO once it is both found appropriate and tested. Many thanks for your contributions! --> HOWTOに 含めた方がよいと思われるトピックがあれば、 <htmlurl url="mailto:ambrose@writeme.com" name="ambrose@writeme.com"> 及び <htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net"> 宛に メールを送ってください。 詳しい情報を提供してくれるともっといいですね。 その後、その情報が適切であることがわかり、またテストで確認できたら HOWTO へ 含めます。ご協力に感謝します! <p> <!-- We have a lot of new ideas and plans for improving the HOWTO, such as case studies that will cover different network setup involving IP Masquerade, more on security via strong IPFWADM/IPCHAINS firewall rulesets, IPCHAINS usage, more FAQ entries, etc. If you think you can help, please do! Thanks. --> 私達はこの HOWTO を改善するためのアイデアと計画を持っています。 その中には IP マスカレードを使い、異なったネットワークのセットアップを カバーするケース・スタディや、 IPFWADM/IPCHAINS を使った強い ファイアウォール・ルールセットでの安全性強化、 IPCHAINS の使用法、 より多くの FAQ エントリ等があります。 もしあなたが協力してくれるなら、是非お願いします! 宜しくお願いします。 <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> I got IP Masquerade working, it's great! I want to thank you guys, what can I do? --> <sect1> IPマスカレードが動作してくれました。 これは素晴らしい! 私はあなたがたに感謝したいのですが、何ができるでしょうか? <p> <itemize> <!-- <item>Can you translate the newer version of the HOWTO to another language? <item>Thank the developers and appreciate the time and effort they spent on this. <item>Join the IP Masquerade email list and support new MASQ users <item>Send an email to us and let us know how happy you are <item>Introduce other people to Linux and help them when they have problems. --> <item>HOWTO のより新しいバージョンを別の言語に翻訳していただけませんか。 <item>開発者に感謝して、かれらがこれに費やした時間及び努力を 評価してください。 <item>IP マスカレード・メーリングリストに参加し、新規のマスカレードユーザを 支援してください。 <item>私たちへメールを送り、あなたがどんなに幸福か知らせてください。 <item>他の人々に Linux を手ほどきして、彼らが問題を抱えていた場合、彼らを 支援してあげてください。 </itemize> <!-- 7章ここまで 翻訳: 山口 校正: 森本淳さん <morimoto@xantia.citroen.org> konkitiさん <konkiti@lares.dti.ne.jp> 水原文さん <mizuhara@acm.org> 山口しんごさん <shingoyam@home.com> 松田陽一 <matsuda@palnet.or.jp> --> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- Section 8 --> <!-- <sect> Miscellaneous --> <sect>その他の情報 <p> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Useful Resources --> <sect1> 有用な情報源 <p> <!-- <itemize> <item><url url="http://ipmasq.cjb.net/" name="IP Masquerade Resource page"> Will have all the current information for setting up IP Masquerade on 2.0.x, 2.2.x, and even old 1.2 kernels! <p> <item><url url="http://juanjox.kernelnotes.org" name="Juan Jose Ciarlante's WWW site"> who is the current Linux IP Masquerade maintainer. <p> <item><url url="http://www.indyramp.com/lists/masq" name="IP Masquerade mailing list Archives"> contains the recent messages sent to the mailing lists. <p> <item><url url="http://www.ecst.csuchico.edu/˜dranch/LINUX/index-linux.html" name="David Ranch's Linux page including the TrinityOS Linux document and current versions of the IP-MASQ-HOWTO.">. Topics such as IP MASQ, strong IPFWADM/IPCHAINS rulesets, PPP, Diald, Cablemodems, DNS, Sendmail, Samba, NFS, Security, etc. are covered. <p> <item>The <url url="http://www.tsmservices.com/masq" name="IP Masquerading Applications page">: A comprehensive list of applications that work or can be tuned to work through a Linux IP masquerading server. <p> <item>For people setting up IP Masq on MkLinux, email Taro Fukunaga at <htmlurl url="mailto:tarozax@earthlink.net" name="tarozax@earthlink.net"> for a copy of his short MkLinux version of this HOWTO. <p> <item><url url="http://www.indyramp.com/masq/ip_masquerade.txt" name="IP masquerade FAQ"> has some general information <p> <item>Paul Russel's <htmlurl url="http://netfilter.filewatcher.org/ipchains/" name="http://netfilter.filewatcher.org/ipchains/"> doc and its possibly older backup at <htmlurl url="http://www.linuxdocs.org/IPCHAINS-HOWTO.html" name="Linux IPCHAINS HOWTO">. This HOWTO has lots of information for IPCHAINS usage, as well as source and binaries for the ipchains tool. <p> <item><url url="http://www.xos.nl/linux/ipfwadm/" name="X/OS Ipfwadm page"> contains sources, binaries, documentation, and other information about the <tt/ipfwadm/ package <p> <item>Check out the <htmlurl url="http://www.greatcircle.com/" name="GreatCircle's Firewall mailing list"> for a great resource for strong firewall rulesets. <p> <item>The <url url="http://www.linuxdoc.org/LDP/nag/nag.html" name="LDP Network Administrator's Guide"> is a MUST for the beginner Linux administrator trying to set up a network. <p> <item>The <url url="http://www.linuxdoc.org/HOWTO/NET3-4-HOWTO.html" name="Linux NET-3-4 HOWTO"> is also another comprehensive document on how to setup and configure Linux networking. <p> <item><url url="http://www.linuxdoc.org/HOWTO/ISP-Hookup-HOWTO.html" name="Linux ISP Hookup HOWTO"> and <url url="http://www.linuxdoc.org/HOWTO/PPP-HOWTO.html" name="Linux PPP HOWTO"> gives you information on how to connect your Linux host to the Internet <p> <item><url url="http://www.linuxdoc.org/HOWTO/Ethernet-HOWTO.html" name="Linux Ethernet-Howto"> is a good source of information about setting up a LAN running over Ethernet. <p> <label id="Donald Becker's NIC drivers and utils FAQ-Hardware"> <item><url url="http://cesdis.gsfc.nasa.gov/linux/drivers/" name="Donald Becker's NIC drivers and Support Utils"> <p> <item>You may also be interested in <url url="http://www.linuxdoc.org/HOWTO/Firewall-HOWTO.html" name="Linux Firewalling and Proxy Server HOWTO"> <p> <item><url url="http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html" name="Linux Kernel HOWTO"> will guide you through the kernel compilation process <p> <item>Other <url url="http://www.linuxdoc.org/HOWTO/HOWTO-INDEX/howtos.html" name="Linux HOWTOs"> such as Kernel HOWTO <p> <item>Posting to the USENET newsgroup: <htmlurl url="news:comp.os.linux.networking" name="comp.os.linux.networking"> </itemize> --> <itemize> <item><url url="http://ipmasq.cjb.net/" name="Linux IP マスカレードの情報源"> には IP マスカレードの設定に関する最新情報の全てが満載されています。 2.0.x, 2.2.x, そして古い 1.2 カーネルさえも網羅されています! <p> <item>現在の Linux IP マスカレードの管理者である <url url="http://juanjox.kernelnotes.org" name="Juan Jose Ciarlante の WWW サイト"> 。 <p> <item><url url="http://www.indyramp.com/lists/masq" name="IP マスカレードメーリングリストアーカイブ"> にはメーリングリストに投稿された最新のメッセージがあります。 <p> <item><url url="http://www.ecst.csuchico.edu/˜dranch/LINUX/index-linux.html" name="TrinityOS Linux 文書及び IP-MASQ-HOWTO の最新バージョンを含む David Ranch の Linux web ページ"> 。 強い IPFWADM/IPCHAINS のルールセット、 PPP, Diald, ケーブルモデム, DNS, Sendmail, Samba, NFS, セキュリティ等の、 IP MASQ に関する話題が満載されています。 <p> <item>The <url url="http://www.tsmservices.com/masq" name="IP Masquerading Applications page">: Linux IP マスカレーディングサーバ上で動作するか、或は動作するように調整されているアプリケーションの包括的なリスト。 <p> <item>MkLinux 上で IP Masq を設定するなら、 <htmlurl url="mailto:tarozax@earthlink.net" name="tarozax@earthlink.net"> の Taro Fukunaga 氏にメールして、彼によるこの HOWTO の MkLinux バージョンの 短いコピーを入手してください。 <p> <item><url url="http://www.indyramp.com/masq/ip_masquerade.txt" name="IP masquerade FAQ"> には全般的な情報が幾つかあります。 <p> <item>Paul Russel の <htmlurl url="http://netfilter.filewatcher.org/ipchains/" name="http://netfilter.filewatcher.org/ipchains/"> にある IPCHAINS-HOWTO 。そしてこの古いバックアップが <htmlurl url="http://www.linuxdocs.org/IPCHAINS-HOWTO.html" name="Linux IPCHAINS HOWTO"> にあります。 この HOWTO には IPCHAINS の使い方に関する情報が満載されており、 ipchains ツールのソースコードとバイナリも入手できます。 【訳注: 日本語訳は <htmlurl url="http://www.linux.or.jp/JF/JFdocs/IPCHAINS-HOWTO.html"> にあります。】 <p> <item><url url="http://www.xos.nl/linux/ipfwadm/" name="X/OS Ipfwadm page"> には、 <tt/ipfwadm/ パッケージに関するソース、バイナリ、文書及びその他の 情報があります。 <p> <item><htmlurl url="http://www.greatcircle.com/" name="GreatCircle's Firewall mailing list"> をよく読んで、強いファイアウォールのルールセットの為の素晴らしい情報源を得てください。 <p> <item><url url="http://www.linuxdoc.org/LDP/nag/nag.html" name="LDP Network Administrator's Guide"> は、ネットワークを構築しようとする Linux 管理者の 卵にとって必携の文書です。 <p> <item><url url="http://www.linuxdoc.org/HOWTO/NET3-4-HOWTO.html" name="Linux NET-3-4 HOWTO"> もまた Linux ネットワークを構築し、設定する為の、 もう一つの包括的な文書です。 <p> <item><url url="http://www.linuxdoc.org/HOWTO/ISP-Hookup-HOWTO.html" name="Linux ISP Hookup HOWTO"> 及び <url url="http://www.linuxdoc.org/HOWTO/PPP-HOWTO.html" name="Linux PPP HOWTO"> は、あなたの Linux ホストをインターネットに接続する方法に関する情報を 提供します。 <p> <item><url url="http://www.linuxdoc.org/HOWTO/Ethernet-HOWTO.html" name="Linux Ethernet-Howto"> は、イーサネット上で動作する LAN の構築に関する 良い情報源です。 <p> <label id="Donald Becker's NIC drivers and utils FAQ-Hardware"> <item><url url="http://cesdis.gsfc.nasa.gov/linux/drivers/" name="Donald Becker NIC ドライバとサポートユーティリティ"> 【訳注: 上記 URI は既にリンク切れです。現在は、 <url url="http://www.scyld.com/network/" name="Linux Network Drivers"> に移動しています。】 <p> <item>きっと、<url url="http://www.linuxdoc.org/HOWTO/Firewall-HOWTO.html" name="Linux Firewalling and Proxy Server HOWTO"> にも興味を示されることでしょう。 <p> <item><url url="http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html" name="Linux Kernel HOWTO"> はあなたにカーネルをコンパイルする方法を導いてくれます。 <p> <item>上記 Kernel HOWTO 以外の <url url="http://www.linuxdoc.org/HOWTO/HOWTO-INDEX/howtos.html" name="Linux HOWTO 一覧"> がここにあります。 <p> <item>USENET ニューズグループに投稿するなら: <htmlurl url="news:comp.os.linux.networking" name="comp.os.linux.networking"> </itemize> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Linux IP Masquerade Resource --> <sect1> Linux IP マスカレードの情報源 <p> <!-- The <url url="http://ipmasq.cjb.net/" name="Linux IP Masquerade Resource "> is a website dedicated to Linux IP Masquerade information also maintained by Ambrose Au. It has the latest information related to IP Masquerade and may have information that is not being included in the HOWTO. --> <url url="http://ipmasq.cjb.net/" name="Linux IP マスカレードの情報源"> は、 Ambrose Au 氏によって管理されている、 Linux IP マスカレードに熱心な web サイトです。 IP マスカレードに関する最新情報と、この HOWTO に含まれない情報が掲載されて います。 <p> <!-- You may find the Linux IP Masquerade Resource at the following locations: --> 以下の場所で、Linux IP マスカレードの情報源が見つかります - <!-- <itemize> <item><htmlurl url="http://ipmasq.cjb.net/" name="http://ipmasq.cjb.net/">, Primary Site, redirected to <htmlurl url="http://ipmasq.cjb.net/" name="http://ipmasq.cjb.net/"> <p> <item><htmlurl url="http://ipmasq2.cjb.net/" name="http://ipmasq2.cjb.net/">, Secondary Site, redirected to <htmlurl url="http://www.geocities.com/SiliconValley/Heights/2288/" name="http://www.geocities.com/SiliconValley/Heights/2288/"> </itemize> --> <itemize> <item>プライマリサイト - <htmlurl url="http://ipmasq.cjb.net/" name="http://ipmasq.cjb.net/"> ここは <htmlurl url=" http://www.e-infomax.com/ipmasq/" name="http://www.e-infomax.com/ipmasq/"> へ転送されます。 <p> <item>セカンダリサイト - <htmlurl url="http://ipmasq2.cjb.net/" name="http://ipmasq2.cjb.net/"> ここは <htmlurl url="http://members.home.net/ipmasq/" name="http://members.home.net/ipmasq/"> へ転送されます。 </itemize> <!-- Todo: オリジナルのリンクが不正確でしたので書き換えましたが、やはり オリジナルはそのまま残しておいた方が良いでしょうか?(松田) --> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Thanks to the following people.. --> <sect1> 謝辞 <!-- Todo: 「以下の方々に御礼申し上げます」というのもどぉかなぁと思って、 こういう訳にしちゃいました。(松田) --> <p> <!-- In Alphabetical order: --> アルファベット順 - <!-- <itemize> <item> Gabriel Beitler, gabrielb@voicenet.com &nl; on providing section 3.3.8 (setting up Novell) <p> <item>Juan Jose Ciarlante, irriga@impsat1.com.ar &nl; on contributing his work on his IPMASQADM port forward tool, his work on the 2.1.x and 2.2.x kernel code, the original LooseUDP patch, etc. <p> <item>Steven Clarke, steven@monmouth.demon.co.uk &nl;on contributing his IPPORTFW IP port forwarder tool <p> <item>Andrew Deryabin, djsf@usa.net &nl;on contributing his ICQ MASQ module <p> <item>Ed Doolittle, dolittle@math.toronto.edu &nl;on suggestion to <tt/-V/ option in <tt/ipfwadm/ command for improved security <p> <item>Matthew Driver, mdriver@cfmeu.asn.au &nl;on helping extensively on this HOWTO, and providing section 3.3.1 (setting up Windows 95) <p> <item>Ken Eves, ken@eves.com &nl;on the FAQ that provides invaluable information for this HOWTO <p> <item>John Hardin, jhardin@wolfenet.com&nl; for his PPTP and IPSEC forwarding tools <p> <item>Glenn Lamb, mumford@netcom.com &nl;for the LooseUDP patch <p> <item>Ed. Lott, edlott@neosoft.com &nl;for a long list of tested system and software <p> <item>Nigel Metheringham, Nigel.Metheringham@theplanet.net &nl;on contributing his version of IP Packet Filtering and IP Masquerading HOWTO, which make this HOWTO a better and technical in-depth document &nl;section 4.1, 4.2, and others <p> <item>Keith Owens, kaos@ocs.com.au &nl;on providing an excellent guide on ipfwadm section 4.2 &nl;on correction to <tt/ipfwadm -deny/ option which avoids a security hole, and clarified the status of <tt/ping/ over IP Masquerade <p> <item> Michael Owings, mikey@swampgas.com &nl; on providing section for CU-SeeMe and Linux IP-Masquerade Teeny How-To <p> <item>Rob Pelkey, rpelkey@abacus.bates.edu &nl;on providing section 3.3.6 and 3.3.7 (setting up MacTCP and Open Transport) <p> <item>Harish Pillay, h.pillay@ieee.org &nl;on providing section 4.5 (dial-on-demand using Diald) <p> <item>Mark Purcell, purcell@rmcs.cranfield.ac.uk &nl;on providing section 4.6 (IPautofw) <p> <item> David Ranch, dranch@trinnet.net &nl; help updating and maintaining this HOWTO and the Linux IP Masquerade Resource Page, the TrinityOS document , ..., too many to list here :-) <p> <item>Paul Russell, rusty@linuxcare.com.au &nl;for all his work on IP CHAINS, IP Masquerade kernel patches, etc <p> <item>Ueli Rutishauser, rutish@ibm.net &nl;on providing section 3.3.9 (setting up OS/2 Warp) <p> <item>Steve Grevemeyer, grevemes@tsmservices.com &nl; for taking over the IP Masq Applications page from Lee Nevo and updating it to a full DB backend. <p> <item>Fred Viles, fv@episupport.com&nl;for his patches for proper port forarding of FTP. <p> <item>John B. (Brent) Williams, forerunner@mercury.net &nl;on providing section 3.3.7 (setting up Open Transport) <p> <item>Enrique Pessoa Xavier, enrique@labma.ufrj.br &nl;on the BOOTp setup suggestion <p> <item>All the people on the IP-MASQ email list, masq@tiffany.indyramp.com &nl; for their help and support for all the new Linux MASQ users. <p> <item>Other code and documentation developers of IP Masquerade for this great feature <p> <quote> <itemize> <item>Delian Delchev, delian@wfpa.acad.bg <item>David DeSimone (FuzzyFox), fox@dallas.net <item>Jeanette Pauline Middelink, middelin@polyware.iaf.nl <item>Miquel van Smoorenburg, miquels@q.cistron.nl <item>Jos Vos, jos@xos.nl <item>And more who I may have failed to mention here (please let me know) </itemize> </quote> <p> <item>All users sending feedback and suggestion to the mailing list, especially the ones who reported errors in the document and the clients that are supported and not supported <p> <item>We apologize if we have omitted any important names, not included information that some fellow users have sent us yet, etc. There are many suggestions and ideas sent but there isn't have enough time to verify and integrate these changes. David Ranch is constantly trying his best to incorporate all the information sent to me into the HOWTO. I thank you for the effort, and I hope you understand our situation. </itemize> --> <itemize> <item> Gabriel Beitler, gabrielb@voicenet.com &nl; 3.3.8 章 の執筆 (Novell の設定) <p> <item>Juan Jose Ciarlante, irriga@impsat1.com.ar &nl; IPFWADM ポートフォワードツールにおける彼の功績、カーネル 2.1.x 及び 2.2.x のコード、オリジナルの LooseUDP パッチ等。 <p> <item>Steven Clarke, steven@monmouth.demon.co.uk &nl;彼の IPPORTFW IP ポートフォワーダーツールにおける貢献。 <p> <item>Andrew Deryabin, djsf@usa.net &nl;彼の ICQ MASQ モジュールにおける貢献。 <p> <item>Ed Doolittle, dolittle@math.toronto.edu &nl;セキュリティを改善する <tt/ipfwadm/ コマンドの <tt/-V/ オプションの提案。 <p> <item>Matthew Driver, mdriver@cfmeu.asn.au &nl;この HOWTO の拡張を手伝うと共に、 3.3.1 章 (Windows95 の設定) の提供。 <p> <item>Ken Eves, ken@eves.com &nl;FAQ における、この HOWTO の為の貴重な情報の提供。 <p> <item>John Hardin, jhardin@wolfenet.com&nl; 彼の PPTP 及び IPSEC フォワーディングツール。 <p> <item>Glenn Lamb, mumford@netcom.com &nl;LooseUDP パッチ。 <p> <item>Ed. Lott, edlott@neosoft.com &nl;テストされたシステムとソフトウェアの長いリスト。 <p> <item>Nigel Metheringham, Nigel.Metheringham@theplanet.net &nl;彼のバージョンの IP Packet Filtering and IP Masquerading HOWTO の貢献。 この HOWTO をより良くし、技術的に深い文書に仕上げてくれた。 &nl; 4.1, 4.2 章及びその他。 <p> <item>Keith Owens, kaos@ocs.com.au &nl;4.2 章の ipfwadm の素晴らしい手引の提供。 &nl;セキュリティホールを回避する <tt/ipfwadm -deny/ オプションの修正、及び IP マスカレード上の <tt/ping/ の状態を明らかにしたこと。 <p> <item> Michael Owings, mikey@swampgas.com &nl; CU-SeeMe 及び Linux IP-Masquerade Teeny How-To の章の提供 <p> <item>Rob Pelkey, rpelkey@abacus.bates.edu &nl;3.3.6 及び 3.3.7 章の提供 (MacTCP 及び オープントランスポートの設定) <p> <item>Harish Pillay, h.pillay@ieee.org &nl;4.5 章 の提供(Diald を用いるダイヤルオンデマンド) <p> <item>Mark Purcell, purcell@rmcs.cranfield.ac.uk &nl;4.6 章の提供(IPautofw) <p> <item> David Ranch, dranch@trinnet.net &nl; この HOWTO の更新及び保守、Linux IP マスカレードの情報源の web ページ、 TrinityOS の文書、 , ..., ここに列挙するには多すぎます。 :-) <p> <item>Paul Russell, rusty@linuxcare.com.au &nl;IPCHAINS, IP マスカレードのカーネルパッチ等における彼の仕事。 <p> <item>Ueli Rutishauser, rutish@ibm.net &nl;3.3.9 章の提供(OS/2 Warp の設定) <p> <item>Steve Grevemeyer, grevemes@tsmservices.com &nl;Lee Nevo から IP Masq アプリケーション web ページを引き継ぎ、 DB バックエンドの全てを更新。 <p> <item>Fred Viles, fv@episupport.com&nl;FTP の正しいポートフォワーディングの為の彼のパッチ。 <p> <item>John B. (Brent) Williams, forerunner@mercury.net &nl;3.3.7 章の提供(オープントランスポートの設定) <p> <item>Enrique Pessoa Xavier, enrique@labma.ufrj.br &nl;BOOTp 設定の提案。 <p> <item>IP-MASQ メーリングリスト上の全ての参加者, masq@tiffany.indyramp.com &nl; 新たな Linux MASQ ユーザに対する援助とサポート。 <p> <item>その他、この素晴らしい機能である IP マスカレードのコード及び文書の開発者。 <p> <quote> <itemize> <item>Delian Delchev, delian@wfpa.acad.bg <item>David DeSimone (FuzzyFox), fox@dallas.net <item>Jeanette Pauline Middelink, middelin@polyware.iaf.nl <item>Miquel van Smoorenburg, miquels@q.cistron.nl <item>Jos Vos, jos@xos.nl <item>そして私がここで列挙し忘れてしまった人達。(教えてください) </itemize> </quote> <p> <item>特にドキュメントやクライアントの誤りを報告した、メーリングリストへ フィードバックや提案を送る全てのユーザが援助されるとは限りません。 <p> <item>もし、まだ重要な名前を忘れていたり、何人かの仲間のユーザが送って くれた情報等が含まれていないなら、陳謝します。 多くの提案とアイディアが送られていますが、それを検証してこの文書に統合 するために十分な時間がありません。 David Ranch はこの HOWTO に私宛に送られる全ての情報を組み入れるべく、 彼の最善を尽くしています。 彼の努力に感謝すると共に、私達のこの状況を皆さんに理解して頂きたいと 思います。 </itemize> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- <sect1> Reference --> <sect1> 参考文献 <p> <!-- <itemize> <item>Original IP masquerade FAQ by Ken Eves <item>IP masquerade mailing list archive by Indyramp Consulting <item>IP Masquerade WWW site by Ambrose Au <item>Ipfwadm page by X/OS <item>Various networking related Linux HOWTOs <item>Some topics covered in TrinityOS by David Ranch </itemize> --> <itemize> <item>Ken Eves によるオリジナルの IP マスカレード FAQ <item>Indyramp Consulting の、 IP マスカレードメーリングリストアーカイヴ <item>Ambrose Au の IP Masquerade WWW サイト <item>X/OS の Ipfwadm ページ <item>その他ネットワークに関係する Linux HOWTO 群 <item>David Ranch の TrinityOS にて網羅されている幾つかの話題 </itemize> <!-- ChangeLOG --> <!-- <sect1> Changes --> <sect1> 変更点 <p> <!-- <itemize> TO do - HOWTO: <itemize> <item>Add the scripted IPMASQADM example to the Forwarders section. Also confirm the syntax. <item>Add a little section on having multiple subnets behind a MASQ server <item>Confirm the IPCHAINS ruleset and make sure it is consistant with the IPFWADM ruleset </itemize> <p> TO DO - WWW page: <itemize> <item>Update all PPTP urls from lowrent to ftp://ftp.rubyriver.com/pub/jhardin/masquerade/ip_masq_vpn.html <item>Update the PPTP patch on the masq site <item>Update the portfw FTP patch </itemize> <p> Changes from 1.90 to 1.95 - 11/11/00 <itemize> <item>Added a quick upfront notice in the intro that running a SINGLE NIC in MASQ mutliple ethernet segments is NOT recommended and linked to the relivant FAQ entry. Thanks to Daniel Chudnov for helping the HOWTO be more clear. <item>Added a pointer in the Intro section to the FAQ section for users looking for how MASQ is different from NAT and Proxy services. <p> <item>Reordered the Kernel requirements sections to be 2.2.x, 2.4.x, 2.0.x <p> <item>Expanded the kernel testing in Section 3 to see if a given kernel already supports MASQ or not. <p> <item>Reversed the order of the displayed simple MASQ ruleset examples (2.2.x and 2.0.x) <item>Cleaned up some formatting issues in the 2.0.x and 2.2.x rc.firewall files <item>Noted in the 2.2.x rc.firewall that the defrag option is gone in some distro's proc (Debian, TurboLinux, etc) <item>Added a NOTE #3 to the rc.firewall scripts to include instructions for Pump. Thanks to Ross Johnson for this one. <item>Cleaned up the simple MASQ ruleset examples for both the 2.2.x and 2.2.x kernels <item>Updated the simple and stronger IPCHAINS and IPFWADM rulesets to include the external interface names (IPCHAINS is -i; IPFWADM is -W) to avoid some internal traffic MASQing issues. <p> <item>Vastly expanded the Section 5 (testing) with even more testing steps with added complete examples of what the output of the testing commands should look like. <p> <item>Moved the H.323 application documentation from NOT supported to Supported. :) <p> <item>Reordered the Multiple LAN section examples (2.2.x then 2.0.x) <item>Made some additional clarifications to the Multiple LAN examples <p>Fixed a critical typo with multiple NIC MASQing where the network examples had the specified networks reversed. Thanks to Matt Goheen for catching this. <p> <item>Added a little intro to MFW in the PORTFW section. <item>Reveresed the 2.0.x and 2.2.x sections for PORTFW <item>Updated the news regarding PORTFWing FTP traffic for 2.2.x kernels <code> NOTE: At this time, there *IS* a BETA level IP_MASQ_FTP module for PORT Forwarding FTP connections 2.2.x kernels which also supports adding additional PORTFW FTP ports on the fly without the requirement of unloading and reloaded the IP_MASQ_FTP module and thus breaking any existing FTP transfers. </code> <item>Added a top level note about PORTFWed FTP support <item>Added a noted to the 2.0.x PORTFW'ed FTP example why users DON'T need to PORTFW port 20. <item>Updated the PORTFW section to also mention that users can use FTP proxy applications like the one from SuSe to support PORTFWed FTP-like functionality. Thanks to Stephen Graham for this one. <item>Updated the example for how to enable PORTFWed FTP to also include required configurations to how the ip_masq_ftp module is loaded for users who use multiple PORTs to contact multiple internal FTP servers. Thanks to Bob Britton for reminding me about this one. <p> <item>Added a FAQ entry for users who have embedded ^Ms in their rc.firewall file <item>Expanded the FAQ entry talking about how MASQ is different from NAT and Proxy to include some informative URLs. <item>Updated the explination of the MASQ MTU issue and describe the two main explinations of the issue. <item>Clarified that per the RFC, PPPoE should only require an MTU of 1490 though some ISPs require a setting of 1460. Because of this, I have updated the example to show an MTU of 1490. <item>Broke out the Windows 9x sections into Win95 and Win98 as they use different settings (DWORD vs. STRING). I also updated the sections to be more clear and the Registry backup methods have been updated. <item>Fixed a typo where the NT 4.0 Registry entries were backwards (Tcpip/Parameters vs. Parameters/Tcpip). <item>Fixed an issue where the WinNT entry should have been a DWORD and not a STRING. <item>A serious thanks goes out to Geoff Mottram for his various PPPoE and various Windows Registry entry fixes. <p> <item>Added an explict URL for Oident in the IRC FAQ entry <item>Updated the FAQ section regarding some broken "netstat" versions <item>Added new FAQ sections for MASQ accounting ideas and traffic shaping <item>Expanded the IPROUTE2 FAQ entry on what Policy-routing is. <item>Moved the IPROUTE2 URLs to the 2.2.x Kernel requirements section and also added a few more URLs as well. <p> <item>Corrected the "intnet" varible in the stronger IPCHAINS ruleset to reflect the 192.168.0.0 network to be consistent with the rest of the example. Thanks to Ross Johnson for this one. <p> <item>Added a new FAQ section for people asking about forwarding problems between multiple internal MASQed LANs. <item>Added a new FAQ section about users wanting to PORTFW all ports from multiple external IP addresses to internal ones. I also touched on peopel trying to PORTFW all ports on multiple IP ALIASed interfaces and also noted the Bridge+Firewall HOWTO for DSL and Cablemodem users who have multiple IPs in a non-routed environment. <item>Added Mandrake 7.1, Mandrake 7.2, and Slackware 7.1 to the supported list <item>Added Redhat 7.0 to the MASQ supported distros. Thanks to Eugene Goldstein for this one. <item>Fixed a mathmatical error in the "Maximum Throughput" calculation in the FAQ section. Thanks to Joe White @ ip255@msn.com for this one. <item>Fixed the fact that the Windows9x MTU changes are a STRING change and not a DWORD change to the registry. Thanks to jmoore@sober.com for this one. <item>Updated the comments in the 2.0.x rc.firewall script to note that the ip_defrag option is for both 2.0 and 2.2 kernels. Thanks to pumilia@est.it for this clarification. </itemize> <p> Changes from 1.85 to 1.90 - 07/03/00 <itemize> <item>Updated the URL for TrinityOS to reflect its new layout <item>Caught a typo in the IPCHAINS rulesets where I was setting "ip_ip_always_defrag" instead of "ip_always_defrag" <item>The URL to Taro Fukunaga was invaild since it was using "mail:" instead of "mailto:" <item>Added some clarification to the "Masqing multiple internal interfaces" where some people didn't understand why eth0 was referenced multiple times. <item>Fixed another "space after the EXTIP variable" bug in the stronger IPCHAINS section. I guess I missed one. <item>In Test #7 of Section 5, I referred users to go back to step #4. Thats should have been step #6. <item>Updated the kernel versions that came with SuSe 5.2 and 6.0 <item>Fixed a typo (or vs. of) in Section 7.2 <item>Added Item #9 to the Testing MASQ section to refer users who are still haing MASQ problems to read the MTU entry in the FAQ <item>Improved the itemization in Section 5 <item>Updated the IPCHAINS syntax to show the MASQ/FORWARD table. Before, it was valid to run "ipchains -F -L" but now only "ipchains -M -L" works. <item>Updated the LooseUDP documentation to reflect the new LooseUDP behavior in 2.2.16+ kernels. Before, it was always enabled, now, it defaults to OFF due to a possible MASQed UDP port scanning vunerability. I have updated the BASIC and SEMI-STRONG IPCHAINS rulesets to reflect this option. <item>Updated the recommended 2.2.x kernel to be 2.2.16+ since there is a TCP root exploit vunerability in all lesser versions. <item>Added Redhat 6.2 to the MASQ supported list <item>Updated the link for Sonny Parlin's FWCONFIG to now point to fBuilder. <item>Updated the various example IP addresses from 111.222.333.444 to be 111.222.121.212 to be within a valid IP address range <item>Updated the URL for the BETA H.323 MASQ module <item>Finally updated the MTU FAQ section to help out PPPoE DSL and Cablemodem users. Basically, the <ref id="MTU-issues"> section now reflects that users can also change the MTU settings of all of their INTERNAL machines to solve the dreaded MASQ MTU issue. <item>Added a clarification to the PORTFW section that PORTFWed connections that work for EXTERNAL clients will not work for INTERNAL clients. If you also need INTERNAL portfw, you will need to also impliment the REDIR tool as well. I also noted that this issue is fixed in the 2.4.x kernels with Netfilter. <item>I also added a technical explination from Juanjo to the end of the PORTFW section to why this senario doesn't work properly. <item>Updated all of the IPCHAINS URLs to point to Paul Rusty's new site at http://netfilter.filewatcher.org/ipchains/ <item>Updated Paul Rustys email address <item>Added a new FAQ section for users whose connections remain idle for a long time and their PORTFWed connection no longer work. <item>Updated all the URLs to the LDP that pointed to metalab.unc.edu to the new site of linuxdoc.org <item>Updated the Netfilter URLs to point to renamed HOWTOs, etc. <item>I also updated the status of the 2.4.x support to note that I *will* add full Netfilter support to this HOWTO and if the time comes, then split that support off into a different HOWTO. <item>Updated the 2.4.x Requirements section to reflect how NetFilter has changed compared to IPFWADM and IPCHAINS and gave a PROs/CONs list of new features and changes to old behaviors. <item>Added a TCP/IP math example to the "My MASQ connection is slow" FAQ entry to better explain what a user should expect performance wise. <item>Updated the HOWTO to reflect that newer versions of the "pump" DHCP client now can run scripts upon bringup, lease renew, etc. <item>Updated the PORTFWing of FTP to reflect that several users say they can successfully forward FTP traffic to internal machines without the need of a special ip_masq_ftp module. I have made the HOWTO reflect that users should try it without the modified module first and then move to the patch if required. </itemize> <p> Changes from 1.82 to 1.85 - 05/29/00 <itemize> <item>Ambrose Au's name has been taken off the title page as David Ranch has been the primary maintainer for the HOWTO for over a year. Ambrose will still be involved with the WWW site though. <item>Deleted a stray SPACE in section 6.4 <item>Re-ordered the compatible MASQ'ed OS section and added instructions for setting up a AS/400 system running on OS/400. Thanks to jaco@libero.it for the notes. <item>Added an additional PORFW-FTP patch URL for FTP access if HTTP access fails. <item>Updated the kernel versions for Redhat 5.1 & 6.1 in the FAQ <item>Added FloppyFW to the list of MASQ-enabled Linux distros <item>Fixed an issue in the Stronger IPFWADM rule set where there were spaces between "ppp_ip" and the "=". <item>In the kernel compiling section for 2.2.x kernels, I removed the reference to enable "CONFIG_IP_ALWAYS_DEFRAG". This option was removed from the compiling section and enabled by default with MASQ enabled in 2.2.12. <item>Because of the above change in the kernel behavior, I have added the enabling of ip_always_defrag to all the rc.firewall examples. <item>Updated the status of support for H.323. There is now ALPHA versions of modules to support H.323 on both 2.0.x and 2.2.x kernels. <item>Added Debian v2.2 to the supported MASQ distributions list <item>Fixed a long standing issue where the section that covered explict filtering of IP addresses for IPCHAINS had old IPFWADM syntax. I've also cleaned this section up a little and made it a little more understandable. <item>Doh! Added Juan Ciarlante's URL to the important MASQ resources section. Man.. you guys need to make me more honest than this!! <item>Updated the HOWTO to reflect kernels 2.0.38 and 2.2.15 <item>Rerversed the order shown to compile kernels to show 2.2.x kernels first as 2.0.x is getting pretty old. <item>Updated the 2.2.x kernel compiling section to reflect the changed options for the latter 2.2.x kernels. <item>Added a a possible solution for people that fail to get past MASQ test #5. </itemize> <p> Changes from 1.81 to 1.82 - 01/22/00 <itemize> <item>Added a missing subsection for /proc/sys/net/ipv4/ip_dynaddr in the stronger IPCHAINS ruleset. Section 6.5 <item>Changed the IP Masq support for Debian 2.1 to YES <item>Reorganized and updated the "Masq is slow" FAQ section to include fixing Ethernet speed and duplex issues. <item>Added a link to Donald Becker's MII utilities for Ethernet NIC cards <item>Added a missing ")" for the 2.2.x section (previously fixed it only for the 2.0.x version) to the ICQ portfw script and changed the evaluation from -lt to -le <item>Added Caldera eServer v2.3 to the MASQ supported list <item>Added Mandrake 6.0, 6.1, 7.0 to the MASQ supported list <item>Added Slackware v7.0 to the MASQ supported list <item>Added Redhat 6.1 to the MASQ supported list <item>Added TurboLinux 4.0 Lite to the MASQ supported list <item>Added SuSe 6.3 to the MASQ supported list <item>Updated the recommended stable 2.2.x kernel to be anything newer than 2.2.11 <item>In section 3.3, the HOWTO forgot how to tell the user how to load the /etc/rc.d/rc.firewall upon each reboot. This has now been covered for Redhat (and Redhat-based distros) and Slackware. <item>Added clarification in the Windows WFWG v3.x and NT setup sections why users should NOT configure the DHCP, WINS, and Forwarding options. <item>Added a FAQ section on how to fix FTP problems with MASQed machines. <item>Fixed a typo in the Stronger firewall rulesets. The "extip" variabl cannot have the SPACE between the variable name and the "=" sign. Thanks to johnh@mdscomp.com for the sharp eye. <item>Updated the compatibly section: Mandrake 7.0 is based on 2.2.14 and TurboLinux v6.0 runs 2.2.12 </itemize> <p> Changes from 1.80 to 1.81 - 01/09/00 <itemize> <item>Updated the ICQ section to reflect that the new ICQ Masq module supports file transfer and real-time chat. The 2.0.x module still has those limitations. <item>Updated Steven E. Grevemeyer's email address. He is the maintainer of the IP Masq Applications page. <item>Fixed a few lines that were missing the work AREN'T for the "setsockopt" errors. <item>Updated a error the strong IPCHAINS ruleset where it was using the variable name "ppp_ip" instead of "extip". <item>Fixed a "." vs a "?" typo in section 3.3.1 in the DHCP comment section. <item>Added a missing ")" to the ICQ portfw script and changed the evaluation from -lt to -le <item>Updated the Quake Module syntax to NOT use the "ports=" verbage </itemize> <p> Changes from 1.79 to 1.80 - 12/26/99 <itemize> <item>Fixed a space typo when setting the "ppp_ip" address. <item>Fixed a typo in the simple IPCHAINS ruleset. "deny" to "DENY" <item>Updated the URLs for Bjorn's "modutils" for Linux <item>Added verbage about NetFilter and IPTables and gave URLs until it is added to this HOWTO or a different HOWTO. <item>Updated the simple /etc/rc.d/rc.firewall examples to notify users about the old Quake module bug. <item>Updated the STRONG IPFWADM /etc/rc.d/rc.firewall to clarify users about dynamic IP addresses (PPP & DHCP), newer DHCPCD syntax, and the old Quake module bug. <item>Updated the STRONG IPCHAINS /etc/rc.d/rc.firewall to ADD a missing section on dynamic IP addresses (PPP & DHCP) and the old Quake module bug. <item>Added a note in the "Applications that DO NOT work" section that there IS a beta module for Microsoft NetMeeting (H.323 based) v2.x on 2.0.x kernels. There is NO versions available for Netmeeting 3.x and/or 2.2.x kernels as of yet. </itemize> <p> Changes from 1.78 to 1.79 - 10/21/99 <itemize> <item>Updated the HOWTO name to reflect that it isn't a MINI anymore! </itemize> <p> Changes from 1.77 to 1.78 - 8/24/99 <itemize> <item>Fixed a typeo in "Section 6.6 - Multiple Internal Networks" where the -a policy was ommited. <item>Deleted the 2.2.x kernel configure option "Drop source routed frames" since it is now enabled by default and the kernel compile option was removed. <item>Updated the 2.2.x and all other IPCHAINS sections to notify users of the IPCHAINS fragmentation bug. <item>Updated all the URLs point at Lee Nevo's old IP Masq Applications page to Seg's new page. </itemize> <p> Changes from 1.76 to 1.77 - 7/26/99 <itemize> <item>Fixed a typo in the Port fowarding section that used "ipmasqadm ipportfw -C" instead of "ipmasqadm portfw -f" </itemize> <p> Changes from 1.75 to 1.76 - 7/19/99 <itemize> <item>Updated the "ipfwadm: setsockopt failed: Protocol not available" message in the FAQ to be more clear instead of making the user hunt for the answer in the Forwarders section. <item>Fixed incorrect syntax in section 6.7 for IPMASQADM and "portfw" </itemize> <p> Changes from 1.72 to 1.75 - 6/19/99 <itemize> <item>Fixed the quake module port setup order for the weak IPFWADM & IPCHAINS ruleset and the strong IPFWADM ruleset as well. <item>Added a user report about port forwarding ICQ 4000 directly in and using ICQ's default settings WITHOUT enabling the "Non-Sock" proxy setup. <item>Updated the URLs for the IPMASQADM tool <item>Added references to Taro Fukunaga, tarozax@earthlink.net for his MkLinux port of the HOWTO <item>Updated the blurb about Sonny Parlin's FWCONFIG tool to note new IPCHAINS support <item>Noted that Fred Vile's patch for portfw'ed FTP access is ONLY available for the 2.0.x kernels <item>Updated the 2.2.x kernel step with a few clarifications on the Experiemental tag <item>Added Glen Lamb's name to the credits for the LooseUDP patch <item>Added a clarification on installing the LooseUDP patch that it should use "cat" for non-compressed patches. <item>Fixed a typo in the IPAUTO FAQ section <item>I had the DHCP client port numbers reversed for the IPFWADM and IPCHAINS rulesets. The order I had was if your Linux server was a DHCP SERVER. <item>Added explict /sbin path to all weak and strong ruleset examples. <item>Made some clarifications in the strong IPFWADM section regarding Dynamic IP addresses for PPP and DHCP users. I also noted that the strong rulesets should be re-run when PPP comes up or when a DHCP lease is renewed. <item>Added reference in the 2.2.x requirements, updated the ICQ FAQ section, and added Andrew Deryabin to credits section for his ICQ MASQ module. <item>Added some clarifcation in the FAQ section why the 2.1.x and 2.2.x kernels went to IPCHAINS. <item>Added a little FAQ section on Microsoft File/Print/Domain services (Samba) through a MASQ server. I also added a URL to a Microsoft Knowledge base document for more details. <item>Added clarification in the FAQ section that NO Debian distribution supports IP masq out of the box. <item>Updated the supported MASQ distributions in the FAQ section. <item>Added to the Aliased NIC section of the FAQ that you CANNOT masq out of an aliased interface. <item>Wow.. never caught this before but the "ppp-ip" variable in the strong ruleset section is an invalid variable name! It has been renamed to "ppp_ip" <item>In both the IPFWADM and IPCHAINS simple ruleset setup areas, I had a commented out section on enabling DHCP traffic. Problem is, it was below the final reject line! Doh! I moved both up a section. <item>In the simple IPCHAINS setup, the #ed out line for DHCP users, I was using the IPFWADM "-W" command instead of IPCHAINS's "-i" parameter. <item> Added a little blurb to the Forwarders section the resolution to the famous "ipfwadm: setsockopt failed: Protocol not available" error. This also includes a little /proc test to let people confirm if IPPORTFW is enabled in the kernel. I also added this error to a FAQ section for simple searching. <item>Added a Strong IPCHAINS ruleset to the HOWTO <item>Added a FAQ section explaining the "kernel: ip_masq_new(proto=UDP): no free ports." error. <item>Added an example of scripting IPMASQADM PORTFW rules <item>Updated a few of the Linux Documentation Project (LDP) URLs <item>Added Quake III support in the module loading sections of all the rc.firewall rulesets. <item>Fixed the IPMASQADM forwards for ICQ </itemize> <p> <item>1.72 - 4/14/99 - Dranch: Added a large list of Windows NAT/Proxy alternatives with rough pricing and URLs to the FAQ. <p> <item>1.71 - 4/13/99 - Dranch: Added IPCHAINS setups for multiple internal MASQed networks. Changed the ICQ setup to use ICQ's default 60 second timeout and change IPFWADM/IPCHAINS timeout to 160 seconds. Updated the MASQ and MASQ-DEV email list and archive subscription instructions. <p> <item>1.70 - 3/30/99 - Dranch: Added two new FAQ sections that cover SMTP/POP-3 timeout problems and how to masquerade multiple internal networks out different external IP addresses with IPROUTE2. <p> <item>1.65 - 3/29/99 - Dranch: Typo fixes, clarifications of required 2.2.x kernel options, added dynamic PPP IP address support to the strong firewall section, additional quake II module ports, noted that the LooseUDP patch is built into later 2.2.x kernels and its from Glenn Lamb and not Dan Kegel, added more game info in the compatibility section. <p> <item>1.62 - Dranch: Make the final first-draft changes to the doc and now announce it the the MASQ email list. <p> <item>1.61 - Dranch: Make editorial changes, cleaned things up and fixed some errors in the Windows95 and NT setups. <p> <item>1.58 - Dranch: Addition of the port forwarding sections; LooseUDP setup; Ident servers for IRC users, how to read firewall logs, deleted the CuSeeme Mini-HOWTO since it is rarely used. <p> <item>1.55 - Dranch: Complete overhaul, feature and FAQ addition, and editing sweep of the v1.50 HOWTO. Completed the 2.2.x kernel and IPCHAINS configurations. Did a conversion from IPAUTOFW to IPPORTFW for the examples that applied. Added many URLs to various other documentation and utility sites. There are so many changes.. I hope everyone likes it. Final publishing of this new rev of the HOWTO to the LDP project won't happen until the doc is looked over and approved by the IP MASQ email list (then v2.00). <p> <item>1.50 - Ambrose: A serious update to the HOWTO and the initial addition of the 2.2.0 and IPCHAINS configurations. <p> <item>1.20 - Ambrose: One of the more recent HOWTO versions that solely dealt with < 2.0.x kernels and IPFWADM. </itemize> --> <itemize> 宿題 - HOWTO - <itemize> <item>フォワーダの章にIPMASQADMのスクリプトの実例を加えること。 更に、構文を確認すること。 <item>MASQサーバーの後ろに複数のサブネットがある場合に関する小さな 章を加えること。 <item>IPCHAINS ルールセットを確認し、それが IPFWADM ルールセットと 整合が取れていることを確かめること。 </itemize> <p> 宿題 - WWW ページ - <itemize> <item>PPTP の url をすべて lowrent から ftp://ftp.rubyriver.com/pub/jhardin/masquerade/ip_masq_vpn.html へ更新すること。 <item>masq サイトの PPTP パッチを更新すること。 <item>portfw FTP パッチを更新すること。 </itemize> <p> 1.90 から 1.95 までの変更 - 11/11/00 <itemize> <item>MASQ された複数のイーサネットセグメントの中で一つの NIC を稼働させる ことは好ましくないことに関する短い注意書きと、信頼できる FAQ へリンク を張りました。 この HOWTO をより明確にしてくれた Daniel Chudnov に感謝します。 <!-- relivant じゃなくて、 reliable だと思うです。 --> <item>MASQ が NAT やプロキシのサービスとはどう違うのかを探している ユーザのために、 FAQ の章に導入部の章の中へのポインタを加えました。 <p> <item>2.2.x, 2.4.x, 2.0.x カーネルの、各々の章の必要条件を更新しました。 <p> <item>3章で、カーネルが既に MASQ をサポートしているか否かを検証する 方法を拡張しました。 <p> <item>(2.2.x 及び 2.0.x) の、単純な MASQ ルールセットの例の順番を 反転させました。 <item>2.0.x と 2.2.x の rc.firewall ファイルにある幾つかの書式の 問題を片付けました。 <item>2.2.x の rc.firewall に関し、幾つかのディストリビューション (Debian, TurboLinux, 等)において、デフラグオプションがなくなっている ことに関する注意書きを加えました。 <item>Pump の使い方を含む rc.firewall スクリプトに 3番目の注意書きを 追加しました。 Ross Johnson に感謝します。 <item>2.2.x 及び 2.2.x カーネルの両方で、単純な MASQ ルールセットの例を片付けました。 <item>いくつかの内部ネットワークのトラフィック MASQ に関係する問題を回避するために、外部インターフェース名(IPCHAINSは -i です; IPFWADMは -W です。)を含むために、単純でより強い IPCHAINS 及び IPFWADM のルールセットを更新しました。 <!-- Updated the simple and stronger IPCHAINS and IPFWADM rulesets to include the external interface names (IPCHAINS is -i; IPFWADM is -W) to avoid some internal traffic MASQing issues. いまいち意味がピンと来ません。 --> <p> <item>試験コマンドが本来の出力になるような、完全な実例を追加した 試験ステップを伴って、5章(試験)を大幅に拡張しました。 <p> <item>H.323 アプリケーションを未サポートからサポート済みへ移動しました。:) <p> <item>複数の LAN の章の例 (2.2.x、その後 2.0.x) を再び整理しました。 <item>複数の LAN の例に説明を幾つか追加しました。 <p>ネットワークの例で、複数の NIC によるマスカレーディングにおいて、 ネットワークの指定が逆になっていたという重大な誤植を修正しました。 Matt Goheen に感謝します。 <p> <item>PORTFW の章の中の MFW に関し、簡単な紹介を追加しました。 <item>PORTFW のための 2.0.x と 2.2.x の章の順番を逆にしました。 <item>2.2.x カーネルの FTP トラフィックのポートフォワーディングに関し、最新情報を更新しました。 <code> 注 - 現時点で、 2.2.x カーネルにおけるポートフォワーディング FTP 接続の IP_MASQ_FTP モジュールはベータレベルです。 これはアンロードする必要なく、動作中に FTP ポートのポートフォワー ディングを追加する機能がサポートされています。 よって、 IP_MASQ_FTP モジュールをリロードすると既存の FTP 接続は 全て破壊されます。 </code> <item>FTP のポートフォワーディング (PORTFW) のサポートに関し、トップ レベルの注釈を加えました。 <item>カーネル 2.0.x の ポートフォワーディングされた FTP の例で、何故 ユーザはポート20番をポートフォワーディングする必要がないのかという ことに関する注意書きを追加しました。 <item>ポートフォワーディングの章に、ユーザは、例えば SuSe から入手 できるような、ポートフォワーディングされた FTP のような機能をサポート するための FTP プロキシアプリケーションが使えることに関する言及を追加 し、更新しました。 Stephen Graham に感謝します。 <item>複数の内部 FTP サーバに接続するために複数のポートを使用するユーザ が ip_masq_ftp モジュールをロードする方法の為の必要な設定を含む、FTP の ポートフォワーディングを有効にする方法の例を更新しました。 これに関して思い出させてくれた Bob Britton に感謝します。 <p> <item>rc.firewall ファイルに ^M が紛れ込んだユーザの為の FAQ 項目を 追加しました。 <item>幾つかの有益な URL を含む、 MASQ と NAT やプロキシとの相違点に 関する FAQ 項目を拡張しました。 <item>MASQ MTU 問題の説明を更新し、問題の主要な2つの説明について記述 しました。 <!-- explination は explanation の typo だと思います。 --> <item>いくつかの ISP は 1460 MTU のセッティングを要求しますが、 PPPoE は 1490 の MTU を単に要求するべきですので、 RFC に従ってこれを明確に しました。 このため、私は 1490 の MTU を示すために例を更新しました。 <item>Win95 と Win98 は異なる設定 (DWORD 対 STRING) を使用するので、 Windows 9x の章を破棄しました。 これと共にこの章をより明確にする為に更新し、レジストリのバックアップ 方法が更新されました。 <item>NT 4.0 のレジストリエントリが後ろにあった (Tcpip/パラメータ 対 パラメータ/Tcpip) 誤植を修正しました。 <item>WinNT エントリは DWORD であり STRING ではない問題を修正しました。 <item>様々な PPPoE 及び様々な Windows レジストリエントリの修正に関し、 Geoff Mottram に深く感謝します。 <p> <item>IRC FAQエントリーに Oident の URL を追加しました。 <!-- explict は explicit の typo だと思います。 「明示された URL」と書くと変なんで、敢えて訳から抜いてしまいました。 --> <item>幾つかの壊れた "netstat" のバージョンに関する FAQ の章を更新 しました。 <item>MASQ アカウンティングのアイディアとトラフィックシェーピングに 関する新たな FAQ の章を追加しました。 <item>ポリシールーティングは何かに関する、 IPROUTE2 の FAQ 項目を 拡張しました。 <item>2.2.x カーネルの必要条件の章に IPROUTE2 の URL を移動し、更に 同様の URL を幾つか追加しました。 <p> <item>残りの例と矛盾のない 192.168.0.0 ネットワークに反映させる為の、 より強い IPCHAINS のルールセットの "intnet" 変数を修正しました。 Ross Johnson に感謝します。 <p> <item>複数の内部 MASQ された LAN 同士のフォワーディングの問題を質問する 人々の為に、新たな FAQ の章を追加しました。 <item>複数の外部 IP アドレスから単一の内部 IP アドレスへ全てのポート をポートフォワーディングしたいユーザに関する、新たな FAQ の章を追加 しました。 更に、複数の IP エイリアスインターフェース上の全てのポートのポート フォワーディングを試みる人に言及しました。 また、 ルーティングされない環境下で複数の IP を所持する DSL 及び ケーブルモデムユーザの為の、 Bridge+Firewall HOWTO に言及しました。 <item>サポート済みリストに Mandrake 7.2 と Slackware 7.1 を追加しました。 <item>MASQ サポート済みディストリビューションに RedHat 7.0 を追加しました。 Eugene Goldstein に感謝します。 <item>FAQ の章の "最大スループット" の計算の間違いを修正しました。 Joe White @ ip255@msn.com に感謝します。 <item>Windowx9x の MTU の変更は STRING の変更であり、 DWORD の変更 ではない事実に基づいて修正しました。 jmoore@sober.com に感謝します。 <item>ip_defrag オプションは 2.0 及び 2.2 カーネルの両方にあることに 関する、 rc.firewall スクリプトの注釈を更新しました。 このことを明示してくれた pumilia@est.it に感謝します。 </itemize> <p> 1.85 から 1.90 までの変更 - 07/03/00 <itemize> <item>その新しいレイアウトを反映するために、 TrinityOS の URLを更新 しました。 <item>IPCHAINS のルールセット内に "ip_always_defrag" と書かずに "ip_ip_always_defrag" と書いてしまっていた誤植を見つけました。 <item>Taro Fukunaga 氏への URL を "mailto:" を使用せずに "mail:" にしてしまっていました。 <item>何故 eth0 が複数回参照されるのかを理解してくれなかった人達の為に、 "複数の内部インターフェースをマスカレードする" 件に幾つか説明を加えました。 <item>より強い IPCHAINS の章の中で、もう一つの「EXTIP 変数の後のスペース」 のバグを修正しました。 私は、 1つを逃したと推測します。 <item>5章のテスト #7 にて、ステップ #4 に戻るようにユーザに誘導しました。 それはステップ #6 であるべきでした。 <item>SuSe 5.2 及び 6.0 に付属するカーネルのバージョンを更新しました。 <item>7.2章の誤植 (or 対 of) を修正しました。 <item>マスカレードの問題を未だに抱えているユーザに、 FAQ 内に MTU の項目を読ませる為に、マスカレードのテストの章にアイテム #9 を追加しました。 <!-- Added Item #9 to the Testing MASQ section to refer users who are still haing MASQ problems to read the MTU entry in the FAQ haing は having の間違いだと思われます。 --> <item>5章の箇条書きを改善しました。 <item>MASQ/FORWARD テーブルを示すために IPCHAINS の構文を更新しました。 以前は "ipchains -F -L" で正常に動作しましたが、現在は "ipchains -M -L" でしか動作しません。 <item>2.2.16 以降のカーネルにおける新たな LooseUDP の振る舞いを反映するために、 LooseUDP の文書を更新しました。 以前は常に有効でしたが、現在はマスカレードされた UDP ポートスキャニングの脆弱性から、デフォルトでオフとなっています。 通常の、及びやや強い IPCHAINS のルールセットにこのオプションを反映すべく更新しました。 <item>古いバージョンのカーネルは TCP ルート権限搾取の脆弱性があるので、 2.2.x カーネルはバージョン 2.2.16 以降にすべきである旨を加えました。 <item>MASQ サポート済みリストに RedHat 6.2 を追加しました。 <item>Sonny Parlin の FWCONFIG へのリンクを現在の fBuilder へのものに更新しました。 <item>様々な例における IP アドレスを有効なものにすべく、 111.222.333.444 を 111.222.121.212 へ更新しました。 <item>ベータ版 H.323 MASQモジュールの URL を更新しました。 <item>ようやく、 PPPoE DSL 及びケーブル・モデム・ユーザを支援するために MTU FAQ の章を更新しました。 基本的に <ref id="MTU-issues" name="MTU 問題"> の章は、現在、ユーザは恐れられた MASQ MTU 問題を解決するために、全ての内部マシンの MTU 設定を変更することもできることを反映しています。 <item>PORTFW の章に、外部クライアントに動作するポートフォワードされた接続は、内部クライアントには動作しないことの解明を追加しました。 内部ポートフォワーディングも必要なら、 REDIR ツールの実装も同様に必要です。 この問題は 2.4.x カーネルと Netfilter にて解決されることも記しておきました。 <!-- impliment は implement の間違いだと思います。 --> <item>更に、何故このシナリオが適切に動作しないのか、ということに関し、 Juanjo からの技術的な説明を PORTFW の章の最後の方に加えました。 <!-- explination は explanation の間違いだと思います。 --> <item>IPCHAINS の URL の全てを Paul Rusty の 新しいサイト http://netfilter.filewatcher.org/ipchains/ へ更新しました。 <item>Paul Rusty の メールアドレスを更新しました。 <item>FAQ の章に、接続が長い間使われていないままだと、もはやポートフォワード接続は動作しないことを追加しました。 <item>LDP の URL の全てをmetalab.unc.edu から新しいサイトである linuxdoc.org へ更新しました。 <item>Updated the Netfilter URLs to point to renamed HOWTOs, etc. リネームされた HOWTO 等に合わせて Netfilter の URL を更新しました。 <item>2.4.x カーネルのサポートに関し、時期が来たら Netfilter をフルサポートし、またその後は別の HOWTO に切り離すつもりであることを記しました。 <item>2.4.x カーネルの必要条件の章で、 Netfiler は IPFWADM や IPCHAINS と比較してどのように変わったかを反映させ、利点/欠点の一覧に新機能と旧来の動作への変更を加えました。 <item> "私のマスカレード接続が遅い" という FAQ 項目に、ユーザがパフォーマンスを賢明に見込む際の良い説明の為に、 TCP/IP の数値の例を追加しました。 <!-- Added a TCP/IP math example to the "My MASQ connection is slow" FAQ entry to better explain what a user should expect performance wise. 何かうまく訳せません。 --> <item>"pump" DHCP クライアントの新しいバージョンは、起動 (bringup) 、【訳注: IP アドレスの】リース更新等のスクリプト上で動作できることを反映すべく、 HOWTO を更新しました。 <!-- Updated the HOWTO to reflect that newer versions of the "pump" DHCP client now can run scripts upon bringup, lease renew, etc. lease renew を「リース更新」と訳してしまって良いものか、迷ってます。 --> <item>何人かのユーザが ip_masq_ftp モジュールを使わずに内部マシンへの FTP トラフィックの転送に成功したと言っていることを反映させるべく、 FTP ポートフォワーディングの項目を更新しました。 私は、ユーザは先ず修正されたモジュール無しで試みてから、次に要求されればパッチを適用するべきであると、 HOWTO に反映させました。 <!-- Updated the PORTFWing of FTP to reflect that several users say they can successfully forward FTP traffic to internal machines without the need of a special ip_masq_ftp module. I have made the HOWTO reflect that users should try it without the modified module first and then move to the patch if required. move to the patch を「パッチを適用する」と訳して良いものか迷ってます。 --> </itemize> <p> 1.82 から 1.85 までの変更 - 05/29/00 <itemize> <item>David Ranch が 1年以上 HOWTO の主要なメンテナであると共に、 Ambrose Au の名前がタイトルページから削除されました。 しかしながら、 Ambrose は WWW サイト上で未だ含まれるでしょう。 <item>6.4 章の誤って混入したスペースを削除しました。 <!-- Deleted a stray SPACE in section 6.4 stray を「誤って混入した」と訳して良いものか迷ってます。 --> <item>マスカレード互換 OS の章を再構成し、 OS/400 システムが稼働する AS/400 の設定方法を追加しました。 jaco@libero.it に感謝します。 <item>HTTP アクセスが失敗する場合の、 FTP アクセス用の付加的な FTP ポートフォワーディングパッチの URL を追加しました。 <item>FAQ 中の Redhat 5.1 及び 6.1 のカーネルバージョンを更新しました。 <item>マスカレード可能な Linux ディストリビューションの一覧に FloppyFW を追加しました。 <item>より強い IPFWADM のルールセット中の "ppp_ip" と "=" の間にスペースがあった場合の問題を修正しました。 <item>2.2.x カーネルのコンパイルの章で、 "CONFIG_IP_ALWAYS_DEFRAG" スイッチをオンする参照を削除しました。 このオプションはコンパイルの章から削除され、2.2.12 カーネルにおいてマスカレードをオンする際のデフォルトになりました。 <item>カーネルの動作の変化によって、 rc.firewall の全ての例に ip_always_defrag を可能にすることを追加しました。 <item>H.323 のサポート状況を更新しました。 現在、 2.0.x 及び 2.2.x カーネルの両方で、 H.323 をサポートするアルファ版バージョンのモジュールがあります。 <item>マスカレードをサポートするディストリビューションの一覧に Debian v2.2 を追加しました。 <item>長い間存在していた、IPCHAINS 用の明示的 IP アドレスフィルタリングの章に古い IPFWADM の文法が残っていた問題を修正しました。 更にこの章を少し整理し、もう少し理解しやすくしました。 <!-- explict は explicit の間違いだと思われます。 --> <item>くぅ! 重要な MASQ の情報源の章に Juan Ciarlante の URL を追加しました。 そう.. 君達はこの文書よりもっと私に正直になる必要があるんだよ!! <!-- Doh! Added Juan Ciarlante's URL to the important MASQ resources section. Man.. you guys need to make me more honest than this!! この文の意味がイマイチ意味不明です…。 --> <item>カーネル 2.0.38 及び 2.2.15 を反映すべく HOWTO を更新しました。 <item>2.0.x カーネルがかなり古くなっていることに鑑み、カーネルコンパイルの開示の順番を 2.2.x カーネルを先にして、逆順にしました。 <item>最新の 2.2.x カーネルの変更されたオプションを反映すべく、 2.2.x カーネルのコンパイルの章を更新しました。 <item>過去のマスカレードテストの #5 に失敗する人の為に可能な解決方法を追加しました。 </itemize> <p> 1.81 から 1.82 までの変更 - 01/22/00 <itemize> <item>6.5 章のより強い IPCHAINS のルールセットの中の、 /proc/sys/net/ipv4/ip_dynaddr に関する記載忘れを追加しました。 <item>IP マスカレードサポートの項目で、 Debian 2.1 を YES に変更しました。 <item>FAQ の章の"マスカレードが遅い"項目に、固定イーサネット速度及び複合問題を含めるべく再構成し、更新しました。 <item>Donald Becker のイーサネット NIC カード用 MII ユーティリティのリンクを追加しました。 <item>2.2.x カーネルの章(以前はカーネルバージョン 2.0.x の部分だけ修正していました)に、 ICQ ポートフォワーディングスクリプトの ")" の記載忘れを追加しました。 また、 -lt から -le までの評価を変更しました。 <!-- Added a missing ")" for the 2.2.x section (previously fixed it only for the 2.0.x version) to the ICQ portfw script and changed the evaluation from -lt to -le この訳は自信がないです。 --> <item>マスカレードサポート済一覧に Caldera eServer v2.3 を追加しました。 <item>マスカレードサポート済一覧に Mandrake 6.0, 6.1, 7.0 を追加しました。 <item>マスカレードサポート済一覧に Slackware v7.0 を追加しました。 <item>マスカレードサポート済一覧に Redhat 6.1 を追加しました。 <item>マスカレードサポート済一覧に TurboLinux 4.0 Lite を追加しました。 <item>マスカレードサポート済一覧に SuSe 6.3 を追加しました。 <item>安定版 2.2.x カーネルは 2.2.11 より新しいものを薦めるべく更新しました。 <item>3.3章において、各々のリブート上でどのように /etc/rc.d/rc.firewall を読み込むのかをユーザに伝える方法を、HOWTO に記載することを忘れていました。 これは現在 Redhat (及びその派生するディストリビューション) 及び Slackware をカバーしました。 <item>Windows WFWG v3.x 及び NT の設定の章に、何故ユーザは DHCP, WINS 及びフォワーディングのオプションを設定すべきでないかの明確な説明を追加しました。 <item>FAQ の章に、マスカレードされたマシンにおける FTP の問題の解決方法を追加しました。 <item>Fixed a typo in the Stronger firewall rulesets. The "extip" variabl cannot have the SPACE between the variable name and the "=" sign. Thanks to johnh@mdscomp.com for the sharp eye. より強いファイアウォールのルールセットの誤植を修正しました。 "extip" 変数は変数名と"="の間にスペースを挟むことは許されません。 johnh@mdscomp.com の鋭い目に感謝します。 <item>互換性の章を更新しました - Mandrake 7.0 はカーネル 2.2.14 ベースで、 TurboLinux v6.0 はカーネル 2.2.12 が動作します。 </itemize> <p> 1.80 から 1.81 までの変更 - 01/09/00 <itemize> <item>新しい ICQ マスカレードモジュールがファイル転送とリアルタイムチャットをサポートすることを反映すべく、 ICQ の章を更新しました。 カーネル 2.0.x のモジュールはまだこれらの制限があります。 <item>Steven E. Grevemeyer のメールアドレスを更新しました。 彼は IP マスカレードアプリケーションページのメンテナです。 <item>"setsockopt" エラー用でない作業が抜けていたので、数行程修正しました。 <item>変数名に "extip" を使わずに "ppp_ip" を使用していた、より強い IPCHAINS のルールセットのエラーを更新しました。 <item>DHCP のコメントの章の 3.3.1 章で、 "." 対 "?" の誤植を修正しました。 <item>ICQ ポートフォワーディングスクリプトの ")" の記載忘れを追加しました。 また、 -lt から -le までの評価を変更しました。 <item>Quake モジュールの文法は "ports=" を使用しないことを更新しました。 <!-- Updated the Quake Module syntax to NOT use the "ports=" verbage verbage ってなんでしょう? --> </itemize> <p> 1.79 から 1.80 までの変更 - 12/26/99 <itemize> <item>"ppp_ip" アドレスの設定で、スペースの誤植を修正しました。 <item>単純な IPCHAINS のルールセットの誤植を修正しました。 "deny" を "DENY" にです。 <item>Bjorn の Linux 用 "modutils" の URL を更新しました。 <item>NetFilter と IPTables に関する verbage を加え、この HOWTO 或は違う HOWTO に追加されるまでの間、 URL を記しておきました。 <!-- Added verbage about NetFilter and IPTables and gave URLs until it is added to this HOWTO or a different HOWTO. また出て来た(T^T) verbage ってなんでしょう? --> <item>古い Quake モジュールのバグをユーザに通知するために、単純な /etc/rc.d/rc.firewall の例を更新しました。 <item>動的 IP アドレス(PPP 及び DHCP)、より新しい DHCPCD の文法、古い Quake モジュールのバグに関してユーザに明示するために、 IPFWADM を使用した強い /etc/rc.d/rc.firewall の例を更新しました。 <item>動的 IP アドレス(PPP 及び DHCP)と、古い Quake モジュールのバグに関する章の書き忘れを*追加*するために、 IPCHAINS を使用した強い /etc/rc.d/rc.firewall の例を更新しました。 <item>"アプリケーションが動作しない"の章に、カーネル 2.0.x の (H.323 ベースの) Microsoft NetMeeting v2.x のベータ版モジュールの注記を追加しました。 NetMeeting 3.x 及び/又は カーネル 2.2.x で動作するバージョンはまだありません。 </itemize> <p> 1.78 から 1.79 までの変更 - 10/21/99 <itemize> <item>この HOWTO の名前を更新しました。 もはやこの HOWTO は MINI ではありません! </itemize> <p> 1.77 から 1.78 までの変更 - 8/24/99 <itemize> <item>Fixed a typeo in "Section 6.6 - Multiple Internal Networks" where the -a policy was ommited. "6.6章 - 複数の内部ネットワーク" で、 -a ポリシーが省略された誤植を修正しました。 <!-- typeo は typo の間違いと思われます。 ommited は omited の間違いと思われます。 --> <item>2.2.x カーネルの設定オプションの "ソース経路制御されたフレームを捨てる" を削除しました。 これは現在デフォルトで有効になっており、カーネルコンパイル時のオプションとして取り除かれたからです。 <item>IPCHAINS のフラグメンテーションのバグをユーザに通知するべく、カーネル 2.2.x 及び全ての IPCHAINS の章を更新しました。 <item>Lee Nevo の古い IP マスカレードアプリケーションのページを指していた全ての URL を Seg の新しいページへ更新しました。 </itemize> <p> 1.76 から 1.77 までの変更 - 7/26/99 <itemize> <item>ポートフォワーディングの章で、 "ipmasqadm ipportfw -f" でなく "ipmasqadm ipportfw -C" としていた誤植を修正しました。 </itemize> <p> 1.75 から 1.76 までの変更 - 7/19/99 <itemize> <item>フォワーダの章にてユーザが回答を探すことなくより明確にするために、 FAQ 内の "ipfwadm: setsockopt failed: Protocol not available" 【訳注: "ipfwadm: setsockopt は失敗しました: プロトコルは利用できません"】 を更新しました。 <item>6.7章の IPMASQADM と "portfw" の間違った文法を修正しました。 </itemize> <p> 1.72 から 1.75 までの変更 - 6/19/99 <itemize> <item>弱い IPFWADM 及び IPCHAINS のルールセットと強い IPFWADM のルールセットを同様に、 quake モジュールのポート設定の要求を修正しました。 <!-- Fixed the quake module port setup order for the weak IPFWADM & IPCHAINS ruleset and the strong IPFWADM ruleset as well. いまいち意味が通じません。 --> <item>ICQ のポート4000番を直接ポートフォワーディングし、"非Sock"プロキシの設定を用いることなく ICQ のデフォルト設定を使用するユーザレポートを追加しました。 <item>IPMASQADM ツールの URL を更新しました。 <item>Taro Fukunaga tarozax@earthlink.net への参照を追加しました。 彼は HOWTO の MkLinux への移植を行っています。 <!-- Added references to Taro Fukunaga, tarozax@earthlink.net for his MkLinux port of the HOWTO うまく日本語にできなくて、意訳してしまいました。 --> <item>新しい IPCHAINS をサポートする Sonny Parlin の FWCONFIG ツールの宣伝を更新しました。 <!-- Updated the blurb about Sonny Parlin's FWCONFIG tool to note new IPCHAINS support ここの note をどう訳したらいいんでしょう? --> <item>Fred Vile のパッチによる FTP ポートフォワーディングアクセスは 2.0.x カーネルで*のみ*有効であることを追記しました。 <!-- Noted that Fred Vile's patch for portfw'ed FTP access is ONLY available for the 2.0.x kernels noted を追記と訳してよいものか、迷ってます。 --> <item>2.2.x カーネルのステップで、実験段階のタグに関する僅かな説明を更新しました。 <item>協力者一覧に LooseUDP パッチの作者 Glen Lamb の名前を追加しました。 <item>LooseUDP パッチのインストールに関し、非圧縮パッチは "cat" を使用すべきである説明を追加しました。 <item>IPAUTO FAQ の章の誤植を修正しました。 <item>私は IPFWADM と IPCHAINS のルールセットのために DHCP クライアントのポート番号を逆にしました。 私が行った要求は、あなたの Linux サーバが DHCP サーバであったかどうかでした。 <item>全ての弱いルールセット、及び強いルールセットの例に明示的に /sbin への PATH を追加しました。 <item>PPP 及び DHCP ユーザの為に、強い IPFWADM の章に動的 IP アドレスに関する幾つかの解明を行いました。 私はまた、強いルールセットは PPP が起動されたり DHCP の IP アドレスのリースが更新された時に再起動されるべきであることを追記しました。 <item>カーネル 2.2.x の必要条件の中に参照を加えて、ICQ の FAQ の章を更新し、ICQ MASQ モジュールの作者の Andrew Deryabin を協力者一覧の章に追加しました。 <item>FAQ の章に何故 2.1.x 及び 2.2.x カーネルで IPCHAINS に移行したのかに関し、幾つかの説明を追加しました。 <item>マスカレードサーバを通過する Microsoft のファイル/印刷/ドメインサービス (Samba) に関する小さな FAQ の章を追加しました。 これと同時に、より詳細な内容の為に Microsoft 知識ベース文書 (Knowledge base document) の URL を追加しました。 <item>FAQ の章に Debian ディストリビューションは IP マスカレードをサポートしていない説明を追加しました。 <!-- Added clarification in the FAQ section that NO Debian distribution supports IP masq out of the box. out of the box の意味がわかりません。 --> <item>FAQ の章のマスカレードサポート済みディストリビューションを更新しました。 <item>FAQ のエイリアス NIC の章に、インターフェースのエイリアスはマスカレード*できない*旨を追加しました。 【訳注: 「インターフェースのエイリアス」は、カーネルの設定にある "IP: Aliasing"を指しています。一つのインターフェースに複数の IP アドレスを割り振る機能です。】 <!-- Added to the Aliased NIC section of the FAQ that you CANNOT masq out of an aliased interface. FAQ のエイリアス NIC の章に、別名インターフェースはマスカレード*できない*旨を追加しました。 --> <item>うわっ.. 今まで気づかなかったけど、強いルールセットの章の "ppp-ip" という変数名は無効です! "ppp_ip" にリネームしました。 <item>IPFWADM 及び IPCHAINS の両方の単純なルールセットの設定領域で、 DHCP トラフィックを許可する箇所をコメントアウトしました。 問題は、最後の reject 行でした! チクショウ! これら両方を章の上へ移動させました。 <!-- In both the IPFWADM and IPCHAINS simple ruleset setup areas, I had a commented out section on enabling DHCP traffic. Problem is, it was below the final reject line! Doh! I moved both up a section. Doh! って、どう訳したらいいんでしょう? --> <item>単純な IPCHAINS の設定で、 DHCP ユーザの為のコメントアウト行で、 IPCHAINS の "-i" パラメータでなく、 IPFWADM の "-W" コマンドを使用していました。 <!-- In the simple IPCHAINS setup, the #ed out line for DHCP users, I was using the IPFWADM "-W" command instead of IPCHAINS's "-i" parameter. 多分、 #ed は "commented" の略だと思います。 --> <item>フォワーダの章に、有名な "ipfwadm: setsockopt failed: Protocol not available" 【訳注: "ipfwadm: setsockopt は失敗しました: プロトコルは利用できません"】 エラーメッセージの解決の小さな宣伝を追加しました。 これは更に、もしカーネルの IPPORTFW が有効な場合に、人々に確認させる小さな /proc テストを含んでいます。 また、単純な検索の為に FAQ の章にこのエラーを追加しました。 <item>この HOWTO に強い IPCHAINS のルールセットを追加しました。 <item>FAQ の章に "kernel: ip_masq_new(proto=UDP): no free ports."【訳注: "kernel: ip_masq_new(prot=UDP): 空きポートがありません。"】 エラーメッセージの説明を追加しました。 <item>IPMASQADM PORTFW ルールのスクリプトの例を追加しました。 <item>Linux Documentation Project (LDP) の URL の幾つかを更新しました。 <item>全ての rc.firewall ルールセットのモジュール読み込みの章に、 Quake III サポートを追加しました。 <item>ICQのための IPMASQADM フォワーディングを修正しました。 </itemize> <p> <item>1.72 - 4/14/99 - Dranch - Windows の NAT/プロキシの代替手段を、価格の概略と URL と共に、大規模なリストに追加しました。 <p> <item>1.71 - 4/13/99 - Dranch - 複数のマスカレードされた内部ネットワークの為の IPCHAINS の設定を追加しました。 ICQ の設定で、 ICQ のデフォルトの60秒タイムアウトと IPFWADM/IPCHAINS の160秒タイムアウトを変更しました。 MASQ 及び MASQ-DEV メーリングリストとその登録の手順を更新しました。 <!-- Changed the ICQ setup to use ICQ's default 60 second timeout and change IPFWADM/IPCHAINS timeout to 160 seconds. いまいち意味がよくわかりません。 --> <p> <item>1.70 - 3/30/99 - Dranch - SMTP/POP-3 のタイムアウト問題と、複数の内部ネットワークを IPROUTE2 を用いて異なる外部 IP アドレスへマスカレードする方法を FAQ の章に追加しました。 <p> <item>1.65 - 3/29/99 - Dranch - 誤植を修正しました。 2.2.x カーネルオプションの必要項目を解明しました。 動的 PPP IP アドレスのサポートを強いファイアウォールの章に追加しました。 quake II モジュールの移植を追加しました。 LooseUDP パッチは最新の 2.2.x カーネルに組み込まれ、 Dan Kegel ではなく Glenn Lamb の作であることを明記しました。 互換性の章により多くのゲームの情報を追加しました。 <!-- Typo fixes, clarifications of required 2.2.x kernel options, added dynamic PPP IP address support to the strong firewall section, additional quake II module ports, ここの ports は「移植」で良いのでしょうか? noted that the LooseUDP patch is built into later 2.2.x kernels and its from Glenn Lamb and not Dan Kegel, added more game info in the compatibility section. --> <p> <item>1.62 - Dranch - 最後の第1ドラフト段階の変更を文書に行い、 MASQ メーリングリストに告知しました。 <p> <item>1.61 - Dranch - 編集の変更を加えて、体裁を整え、、Windows95 と NT の設定におけるいくつかのエラーを修正しました。 <p> <item>1.58 - Dranch - ポートフォワーディングの章の追加; LooseUDP の設定; IRC ユーザ の為の Ident サーバ、ファイアウォールのログの読み方、滅多に使われない CuSeeme Mini-HOWTO の削除。 <p> <item>1.55 - Dranch - 完全なオーバーホール、特徴と FAQ の追加、 v1.50 HOWTO の全般的な編集。 2.2.x カーネルと IPCHAINS の設定を完成しました。 適用例の為に IPAUTOFW から IPPORTFW への変換を行いました。 諸々の他の文書やユーティリティのサイトへの多くの URL を追加しました。 とても多くの変更があります.. みんなが好んでくれることを望みます。 文書が IP MASQ メーリングリストによって調べられ、承認されるまでは、このHOWTO の新版の LDP プロジェクトによる最終発行は行われません(その後 v2.00 になります)。 <!-- Complete overhaul, feature and FAQ addition, and editing sweep of the v1.50 HOWTO. Completed the 2.2.x kernel and IPCHAINS configurations. Did a conversion from IPAUTOFW to IPPORTFW for the examples that applied. Added many URLs to various other documentation and utility sites. There are so many changes.. I hope everyone likes it. Final publishing of this new rev of the HOWTO to the LDP project won't happen until the doc is looked over and approved by the IP MASQ email list (then v2.00). --> <p> <item>1.50 - Ambrose - HOWTO の重大な更新と、 2.2.0 カーネルと IPCHAINS の設定の初期段階の追加。 <p> <item>1.20 - Ambrose - 2.0.x カーネル以前と IPFWADM にて単独で扱われた、より新しい HOWTO のうちの一つ。 <!-- One of the more recent HOWTO versions that solely dealt with < 2.0.x kernels and IPFWADM. 意味不明です。 --> </itemize> <!-- - - - - - - - - - - - - - - - - - - - - - - - - - --> <!-- 8章ここまで 翻訳: 松田 校正: 早川仁さん <uv9h-hykw@asahi-net.or.jp> 山口しんごさん <shingoyam@home.com> 松田陽一 <matsuda@palnet.or.jp> --> <sect>日本語訳について <p> 日本語訳 初版: 2001年 7月12日 JF Project 「チーム Masquerade」 翻訳者一覧(敬称略、50音順): <itemize> <item>後藤雅晴 <magotou@fubyshare.gr.jp> 6章 <item>松田陽一 <matsuda@palnet.or.jp> 2,3,8章 <item>山口しんご <shingo@axs2.com> 1,5,7章 <item>四亭 <isao@m05.htmnet.ne.jp> 4章 </itemize> <p> この文書を翻訳するにあたり、水原文さん <mizuhara@acm.org> の <url url="http://www.linux.or.jp/JF/JFdocs/IP-Masquerade.html" name="Linux IP Masquerade mini HOWTO 日本語訳"> から多くを引用致しました。 <p> この文書を翻訳するにあたり、以下の方々からアドバイスをいただきました。(50音順) <newline> 本当にありがとうございました。 <itemize> <item>岡本一幸さん <kokamoto@itg.hitachi.co.jp> <item>かねこせいじさん <se-kane@str.hitachi.co.jp> <item>konkitiさん <konkiti@lares.dti.ne.jp> <item>千旦裕司さん <ysenda@pop01.odn.ne.jp> <item>武井伸光さん <takei@webmasters.gr.jp> <item>野本浩一さん <hng@ps.ksky.ne.jp> <item>早川仁さん <uv9h-hykw@asahi-net.or.jp> <item>水原文さん <mizuhara@acm.org> <item>森本淳さん <morimoto@xantia.citroen.org> </itemize> </article>